【Windows Server 2019】组策略的配置与管理——理论基础

1. 组策略概述

1.1 定义

组策略是一个能够让系统管理员充分控制和管理用户工作环境的功能。通过它来确保用户拥有受控制的工作环境，也通过它来限制用户，如此不但可以让用户拥有适当的环境，也可以减轻系统管理员的管理负担。[1]

1.2 作用

让管理员充分管理用户工作环境。组策略包括计算机配置和用户配置两个部分。其中计算机配置对计算机全局环境产生影响，用户配置对用户环境产生影响。

Q：如果同一条组策略的计算机配置与用户配置应用冲突，计算机会怎么么处理？

A：如果有冲突,系统会以禁用优先，也就是说计算机配置或用户配置只要有禁用选项就会以该选项优先。

1.3 分类

组策略分为基于本地的组策略和基于AD（活动目录）的域组策略。

（1）基于本地的组策略

本地是指单一的计算机。用于设置本计算机的策略，策略只会应用于本计算机。本地策略中的计算机配置会被应用到这台计算机，用户配置会被应用到在这台计算机登录的所有用户。

（1）在DNS1上，使用【win + r】快捷键，打开【运行】对话框，输入命令：gpedit.msc。

（2）基于域的组策略

在AD域中可以针对计算机、域或者组织单位来设置策略。其中域的组策略中的设置会被应用到域内所有的计算机和用户。而组织单位的组策略会被应用到该组织单位内的所有计算机和用户。

对于加入域的计算机来说，如果本地组策略的设置与域或组织单位的组策略设置发生冲突，以域或组织单位的组策略的设置优先。也就是此时本地组策略的设置是无效的。

（1）在DNS1上，使用【win + r】快捷键，打开【运行】对话框，输入命令：gpmc.msc。

活动目录中有两个内置的组策略对象：Default Domain Controllers Policy 和 Default Domain Policy。

• 【Default Domain Policy】默认已经被链接到域 fjnu.local，其设置将会被应用到整个域内的所有用户域计算机中。
• 【Default Domain Controllers Policy】默认已经被链接到组织单位Domain Controllers，其设置会被应用到所有域控制器上。

创建新的组策略

（1）在域的【组策略对象】上点击鼠标右键，在弹出的菜单中选择【新建】。

（2）在弹出的【新建GPO】中输入新建的组策略名称：testGPO，点击【确认】，即可创建一个名为testGPO的组策略对象。

（3）在【testGPO】上点击鼠标右键，选择【编辑】，即可对该组策略进行编辑。

（4）该组策略对象包括计算机配置与用户配置两大部分。与本地策略相比，【软件设置】、【Windows设置】、【管理模板】被组织到【策略】下，新增了【首选项】部分。【首选项】包括【Windows设置】和【控制面板设置】。

• 【策略】是强制性，用户无法更改。
• 【首选项】是非强制性，客户端可以自行更改设置值。

如果策略和首选项对相同的选项设置了不同的值，以策略设置优先。

（5）将组策略testGPO应用到组织单位fjnu_user中。在【fjnu_user】上点击鼠标右键，选择【链接现有GPO】。

（6）在打开的【选择GPO】界面中，选择刚才创建并编辑的组策略 testGPO，点击【确认】，即可将testGPO应用到 fjnu_user 上。

以后对组策略 testGPO 的所有设置，均将作用于 fjnu_user 内的所有计算机和用户上，不会对其他计算机和用户有影响。

参考资料

• [1]戴有炜，《2016 Windows Server 系统配置指南》，清华出版社，2018
• Microsoft Docs：Active Directory documentation
• Microsoft Docs：Active Directory Domain Services

关联博文

关于 组策略的配置与管理 请查阅接下来的博文：

• 【Windows Server 2019】组策略的配置与管理——理论基础

  博文介绍了组策略的定义，作用和分类。组策略包括计算机配置和用户配置；组策略又分为为基于本地的组策略和基于AD（活动目录）的域组策略。并说明了不同组策略发生冲突时默认的规则。

• 【Windows Server 2019】组策略的配置与管理——配置基于本地的组策略

  博文介绍了如何配置基于本地的组策略。基于本地的组策略只作用于本计算机及其上的用户，对其他计算机和用户不生效。通过5个子任务实例来验证本地组策略设置对本地工作环境的影响。分别是：

  • （1）禁止本机用户编辑注册表。
  • （2）禁用Windows Server 2019服务器的【关闭事件追踪程序】。
  • （3）禁用互联网属性对话框中的【安全】选项卡。
  • （4）禁止本机用户使用命令提示符。
  • （5）对可移动磁盘进行权限设置。

• 【Windows Server 2019】组策略的配置与管理——配置基于域的组策略（上）基础配置示例

  博文介绍了如何配置基于域的组策略。首先在AD域中创建组策略，然后通过4个实例来验证域的组策略设置效果。分别是：

  • 禁止【user_fjnu】用户访问控制面板和PC设置。
  • 禁止【user_fjnu】所有用户修改IE浏览器的默认主页，并将默认主页设置为www.fjnu.edu.cn。
  • 禁止【user_fjnu】用户运行【计算器程序】。
  • 使【user_fjnu】用户登录系统后，隐藏C盘。

• 【Windows Server 2019】组策略的配置与管理——配置基于域的组策略（下）进阶配置示例

  博文介绍了如何配置基于域的组策略，通过组策略统一管理域中的计算机和用户。通过4个实例来验证域管理员可以通过组策略统一管理分配域中资源。

  • 将某目录自动映射为网络驱动器，使user_fjnu中的用户可以访问。
  • 使user_fjnu中用户使用统一桌面背景。
  • 为user_fjnu中用户安装统一的软件。
  • 为user_fjnu中用户的【文档】文件夹重新定向。