server2008R2升级域后的安全策略

        很多用户在安装配置的时候都遇到过各种各样的问题。如：安装Windows Server 2008 R2系统，并且建了域环境，在添加新用户的时候，发现用简单的密码时域安全策略提示密码复杂度不够，于是就想在域安全策略里面把密码复杂度降低一点，但发现，在Windows Server 2008域的默认“管理工具”中，根本没有域安全策略这个选项（注：“域安全策略”在Windows Server 2003以前的系统默认在“管理工具”里面），只有一个本地安全策略，

　　当用户打开本地安全策略时，会发现无论是账户策略还是本地策略，里面的项目都是灰色不可修改。

　　解决方法是，用户需将Windows Server 2008 R2系统升级为域控制器，那么域会自动把本地安全策略的某些功能锁定。现在，Windows Server 2008 R2的域安全策略应如何启动和打开呢？
   一、方法步骤如下：
   　1、点击“开始”-“程序”-“管理工具”-点击“组策略管理”。

2、在打开的组策略管理，一次展开“林”-“域”-“sayms.com（域名）”-“组策略对象”-右击“Default Domain Policy”，选择“编辑”。

　3、在打开的“组策略管理编辑器”，依次展开“计算机配置”-“策略” 依次打开：策略→windows设置→安全设置→用户策略→密码策略。

当一台服务器被提升为后，不再有效，取而代之的是默认域策略。
　　二、本地组策略
    本地组策略是指应用于本机，且设定后只会在本机起作用的策略，运行的方法为点‘开始’-‘运行’-然后键入‘gpedit.msc’，在弹出本地组策略编辑器中即可进行设置。
    三、域组策略
    域组策略是指应用于站点，域或者组织单元(OUs)的策略，它的最终作用对象通常是多个用户或者计算机，可以在DC上点开始 ? 运行 ? 然后键入gpmc.msc来运行。
    密码策略是属于域级别的策略，必须在默认域策略或链接到根域的新策略中定义。所以虽然您可以在Default domain controller policy 中定义密码策略，但是因为Default domain controller policy只应用到了domain controllers OU而不是整个域，所以在Default domain controller policy 中定义密码策略是无效的。 另外由于域组策略的高于本地组策略的，在域密码策略应用并生效后，所有已经加入域的电脑（包括DC）的中，密码相关设置都会变成灰色不可修改状态。
    在本地策略中的，密码策略就应该是灰色的，无法编辑。当点击开始-运行， 然后键入gpedit.msc回车后，本地策略编辑器就会被打开。而由于域组策略的高于本地组策略的优先级，所有在域组策略中已经设定过的策略都将变为灰色不可修改状态（比如密码策略）。
如果您要修改密码策略，可以使用以下方法：
    1、点击‘开始’-‘运行’-然后键入‘gpmc.msc’，回车后打开“组策略管理”。
    2、展开到 “域-Domain.com-（Domain.com是指您的域名）”。
    3、右键点击Default Domain Policy然后选择“编辑”。
    4、展开到“计算机配置-策略-Windows 设置- 安全设置-账户策略- 密码策略”。
    5、您可以在右边的窗口中定义密码相关的策略，此策略会应用于整个域中的所有账户。

转载于:https://blog.51cto.com/zhaoyunsai/1785173