组策略最佳实践（上）

高效管理现代企业网络的有力武器—组策略技巧与实践议程组策略简介组策略最佳实践组策略实战应用受限组策略WindowsFirewallIPSecPolicy使用组策略发布软件组策略简介管理者面对什么？大规模的网络个人用户薄弱的安全意识软件部署的难度软件管理的难度复杂的系统设置什么是组策略?一种Onetomany管理模式的实现强制性安全配置灵活的软件部署方式强化企业中的软件管理简单明了的系统设置管理模式活动目录管理员“组策略对象”影响最终用户影响计算机解决方案:组策略帮助管理员使用策略控制多个用户和多台计算机的行为使用组策略管理控制台能够更方便的管理组策略特点:减少管理员的管理负载减少企业在管理，支持和培训上的支出提升用户生产力在不牺牲灵活性的条件下提供大量的可选自定义配置用户组策略设置:桌面环境设置软件设置Windows设置安全设置计算机策略设置:桌面环境设置软件设置Windows设置安全设置组策略的组成组策略设置的类型基于注册表的设定本地，域以及网络等安全选项集中管理软件安装以及维护开、关机脚本登陆、注销脚本将用户数据存放在网络上管理IE设定管理模板安全软件安装脚本文件夹重定向IE维护第三方扩展组策略有很好的扩展性组策略在企业中的应用(2)组策略可以用于:注册表设定(WindowsXP中提供的设定数目超过700)Shell,TS,IE,MSI,WindowsUpdate,Messenger,NetMeeting,…SomeApps(i.e.Office2000/XP)安全设定Securitypolicies,accountpolicies,restrictedgroups,services,localACLs,Certificates,SWRestriction,IPSecIE设定软件安装脚本文件夹重定向远程系统安装(RIS设定)组策略对象链接组织单元GPO组织单元GPO站点GPO域GPO站点域OUOUOU本地策略站点策略域策略父OU策略子OU策略组策略执行顺序组策略的继承Windows2000采用特定的顺序应用组策略SiteDomainOU子容器会继承父容器的组策略ComputersUsersPayrollDomainDomainGPO组策略冲突处理计算机策略优于用户策略不同层次的策略产生冲突时，子容器上的GPO优先级高同一容器上多个GPO产生冲突时，处于GPO列表最高位置的GPO优先级最高组策略的应用计算机启动应用计算机设置运行启动脚本刷新周期用户登录应用用户设置运行登录脚本刷新周期组策略对象管理工具缺省管理工具ActiveDirectory用户和计算机管理域和组织单元的策略对象ActiveDirectory站点和服务管理站点的策略对象本地安全策略本地计算机安全设置额外工具组策略管理控制台集中管理系统中的所有策略对象组策略最佳实践组策略最佳实践：规划不要删除或者修改两个默认GPOs使用GPMC备份“默认域策略”和“默认域控制器策略”每个新的GPO应先进行测试每个GPO中只应用一组相关设定控制通过安全组对组策略进行“过滤”控制可管理组策略的管理员数量GPO的命名具有描述性如“工程部门软件部署策略”组策略最佳实践：规划(2)在有AD的情况下，尽量不使用本地组策略限制域上的GPO数量尽可能不使用影响组策略默认继承性的NoOverrideBlock应用GPO时，尽可能将GPO关联到目标对象所在的容器上(比如OU)组策略最佳实践：管理模板仅通过组策略对客户端进行设定，不使用其他方法修改客户端注册表使用WindowsServer2003中提供的最新工具来管理组策略详细的支持信息更新了的策略注释与帮助集成尽量对win2000和windowsXP客户端使用同样的设定，以使用户有一致的体验组策略最佳实践：漫游用户配置对“我的文档”目录使用文件夹重定向获取更快的登陆速度优化在XP,2000andNT4多系统间的漫游各系统见使用应用程序的同一版本确保操作系统安装在相同的%systemdrive%和%windir%对使用漫游用户配置的用户不设置太低的磁盘定额推荐使用配置文件最大值的两倍组策略最佳实践：文件夹重定向让系统为每个用户创建目录对“我的图片”和“我的文档”使用相同的设定使用“文件夹重定向”的默认设定对储存用户数据的服务器使用“离线文件夹”设定始终激活“注销前同步所有离线文件夹”设定组策略最佳实践：软件安装指定软件的“类别(categories)”最终用户更易查找所需软件在发布应用程序之前对其进行定制发布之后将无法定制将应用程序发布给用户或者计算机,但不要同时对当前应用程序重新打包演示：组策略的应用受限组策略WindowsFirewallIPSecPolicy使用组策略发布软件://参考资料组策略白皮书:Windows2000ServerResourceKit中《分步式系统指南》关于组策略的部分