組策略技巧與實(shí)踐課件

高效管理現(xiàn)代企業(yè)網(wǎng)絡(luò)的有力武器

—組策略技巧與實(shí)踐(二)高效管理現(xiàn)代企業(yè)網(wǎng)絡(luò)的有力武器

議程組策略實(shí)戰(zhàn)管理——GPMC組策略對(duì)象的備份與還原組策略對(duì)象的遷移評(píng)估組策略執(zhí)行結(jié)果組策略簡(jiǎn)單排錯(cuò)組策略高級(jí)應(yīng)用技巧ADM模版文件定制與使用組策略過(guò)濾器WMIFilterSecurityFilterWindowsServer2003組策略改進(jìn)資源微軟資源第三方資源議程組策略實(shí)戰(zhàn)管理——GPMC組策略實(shí)戰(zhàn)管理——GPMC組策略實(shí)戰(zhàn)管理——GPMCGPMC概覽什么是GPMC(grouppolicymanagementconsole)?管理組策略的新工具:提供一組可編程對(duì)象用于管理組策略基于這些對(duì)象的MMCSnap-inGPMC設(shè)計(jì)目標(biāo)統(tǒng)一的組策略管理提供更好的用戶界面解決組策略部署中的關(guān)鍵性問(wèn)題允許通過(guò)腳本的方式來(lái)實(shí)現(xiàn)對(duì)組策略的操作GPMC概覽什么是GPMC(grouppolicyGPMC特性概覽管理組策略的全新UI報(bào)告功能:可用HTML方式查看GPO設(shè)定和RSoP數(shù)據(jù)提供對(duì)GPO設(shè)定只讀訪問(wèn)備份、恢復(fù)GPOs導(dǎo)入、導(dǎo)出功能搜索功能與RSoP整合所有操作均可通過(guò)腳本實(shí)現(xiàn)注意:對(duì)GPO中的設(shè)定不行GPMC特性概覽管理組策略的全新UI關(guān)于GPMC可用于管理Windows?2000

或者WindowsServer2003domains在WindowsServer2003之后將提供獨(dú)立版本(可通過(guò)Web下載)系統(tǒng)需求:WindowsServer2003WindowsXP專(zhuān)業(yè)版(SP1+hotfix):關(guān)于GPMC可用于管理Windows?2000

或者備份、恢復(fù)備份:將GPO設(shè)定保存在文件系統(tǒng)中和導(dǎo)出一樣恢復(fù):將設(shè)定還原GPO必須在同一個(gè)域如果要實(shí)現(xiàn)跨域設(shè)定轉(zhuǎn)移，可以使用導(dǎo)入或者拷貝備份、恢復(fù)備份:備份一個(gè)GPO備份將保存如下設(shè)定(于文件系統(tǒng)中)GPO中的策略設(shè)定GPO上的訪問(wèn)控制列表(ACLs)與WMIfilter的關(guān)聯(lián)(不是filter本身)設(shè)定報(bào)告并不備份GPO與SDOUs之間的關(guān)聯(lián)關(guān)系備份一個(gè)GPO備份將保存如下設(shè)定(于文件系統(tǒng)中)管理備份多個(gè)備份可以保存于文件系統(tǒng)中的同一位置多個(gè)GPOs同一GPO的多個(gè)版本每個(gè)備份可以通過(guò)以下方式標(biāo)識(shí):名字，描述，域，時(shí)間票,，GPO的GUID可以通過(guò)GPMC查詢(xún)管理備份多個(gè)備份可以保存于文件系統(tǒng)中的同一位置恢復(fù)恢復(fù)GPO的所有屬性GPO中的策略設(shè)定GPO的訪問(wèn)控制列表與WMIfilter的關(guān)聯(lián)(不是filter本身)設(shè)定報(bào)告使用相同的GUID與備份GPO在同一個(gè)域并不修改GPO與SDOUs之間的關(guān)聯(lián)關(guān)系恢復(fù)恢復(fù)GPO的所有屬性導(dǎo)入與拷貝：概覽僅僅轉(zhuǎn)移策略設(shè)定不修改:訪問(wèn)控制列表(ACLs)WMIFilter(獲關(guān)聯(lián))SDOUs與GPO的關(guān)聯(lián)關(guān)系可以在同一個(gè)域、多域或者多森林情況下使用導(dǎo)入與拷貝：概覽僅僅轉(zhuǎn)移策略設(shè)定拷貝與導(dǎo)入：比較拷貝來(lái)源:ActiveDirectory?中某個(gè)當(dāng)前存在的GPO目標(biāo):創(chuàng)建一個(gè)新的GPO新的GUID在GPO上使用默認(rèn)的訪問(wèn)控制列表導(dǎo)入來(lái)源:文件系統(tǒng)中某GPO的備份目標(biāo):ActiveDirectory中一個(gè)存在的GPO清除目標(biāo)GPO的當(dāng)前策略設(shè)定保留:目標(biāo)GPO的當(dāng)前訪問(wèn)控制列表與該GPO的關(guān)聯(lián)關(guān)系GPO的GUID拷貝與導(dǎo)入：比較拷貝報(bào)告對(duì)GPO策略設(shè)定以及RSoP數(shù)據(jù)提供HTML報(bào)告

可打印，保存(xml,html)報(bào)告對(duì)GPO策略設(shè)定以及RSoP數(shù)據(jù)提供HTML報(bào)告

搜索 可基于以下條件搜索GPOs名稱(chēng)明確權(quán)限有效權(quán)限WMIfilterGUIDGPOs中的策略設(shè)定例如查找所有：“PolicyAdmins”組可以編輯的并包含“文件夾重定向”設(shè)定的GPOs搜索 可基于以下條件搜索GPOs使用GPMC

解決組策略管理的關(guān)鍵問(wèn)題demo使用GPMC

解決組策略管理的關(guān)鍵問(wèn)題demoOU’sA1A2理解組策略使用環(huán)境的復(fù)雜性哪一個(gè)是我的

策略?GPO’sA4A5A1A2A3ADomainSiteBGPO’sB1B2DomainOU’sB1B2B3組策略不跨域繼承Slower站點(diǎn)由子網(wǎng)組成，可能會(huì)垮多個(gè)域。GPOs不跨域儲(chǔ)存單個(gè)SDOU上可能關(guān)聯(lián)了多個(gè)GPOs一個(gè)GPO也可能和多個(gè)SDOUs關(guān)聯(lián)。任何SDOUs可以和任何GPOs關(guān)聯(lián)，甚至跨域

(這樣可能會(huì)非常慢)可以通過(guò)對(duì)安全組的權(quán)限設(shè)定(ACLs)來(lái)實(shí)現(xiàn)GPO的過(guò)濾OU’sA1A2理解組策略使用環(huán)境的復(fù)雜性哪一個(gè)是我的

策略RSoPRSoP(ResultantSetofGroupPolicy)Win2k推出后，客戶對(duì)于組策略的第一改進(jìn)要求兩種模式LoggingMode:哪些策略已應(yīng)用PlanningMode:哪些策略將應(yīng)用RSoPRSoP(ResultantSetofGrRSoP工具RSoP工具RSoPMMCsnap-in關(guān)于已應(yīng)用策略的詳細(xì)信息可以遠(yuǎn)程使用GPResultv2.0命令行工具可以遠(yuǎn)程使用“幫助與支持中心”的HTML報(bào)告可以保存、打印Win2000中不支持這些工具RSoP工具RSoP工具GPOModelingWindowsServer2003提供RSoP的Planning模式允許模擬在AD中的某個(gè)用戶或者某臺(tái)計(jì)算機(jī)上的設(shè)定模擬選項(xiàng):Whatif分析:改變管理范圍改變安全組的成員改變WMIFilter狀態(tài)關(guān)聯(lián)站點(diǎn)慢速鏈接Loopback在哪臺(tái)域控制器上運(yùn)行GPOModelingWindowsServer200RSoP工具demoRSoP工具demo組策略的診斷排錯(cuò)GPOTOOL對(duì)象校驗(yàn)工具GPRESULT顯示GPO結(jié)果SECEDIT刷新策略組策略的診斷排錯(cuò)GPOTOOL組策略高級(jí)應(yīng)用技巧組策略高級(jí)應(yīng)用技巧組策略管理模板通過(guò)策略修改注冊(cè)表設(shè)置Registry.pol文件標(biāo)準(zhǔn)管理模板文件System.admInetres.admConf.admWmplayer.admWuau.admInetsec.adm組策略管理模板通過(guò)策略修改注冊(cè)表設(shè)置System.admWm什么是自定義管理模板?擴(kuò)展組策略的應(yīng)用創(chuàng)建一個(gè)管理模板(e.g.<companyname>_Custom.adm)使用操作系統(tǒng)版本標(biāo)記使用EXPLAIN標(biāo)記進(jìn)行注釋……組策略管理模板什么是自定義管理模板?組策略管理模板管理模板文件在Sysvol中并進(jìn)行復(fù)制兩條策略Turnoffautomatic.ADMupdatesUselocalADMFilesforGPEdit從Sysvol中刪除ADM文件的考慮KB816662KB316977

管理模板復(fù)制管理模板文件在Sysvol中并進(jìn)行復(fù)制管理模板復(fù)制創(chuàng)建自定義管理模板demo創(chuàng)建自定義管理模板demoWMI過(guò)濾器條件：至少500MB剩余磁盤(pán)空間?

WMIFilterAdministrator安裝

Office2003?10GB400MB35GB750MBGPOWMI過(guò)濾器條件：至少500MB剩余磁盤(pán)空間?

WMIWindowsServer2003組策略改進(jìn)demo使用GPMC管理組策略對(duì)象實(shí)施軟件限制策略RSOPWMIFilterDCGPOFIXWindowsServer2003組策略改進(jìn)dem演示：在2003中實(shí)現(xiàn)組策略使用GPMC管理組策略對(duì)象實(shí)施軟件限制策略RSOPWMIFilterDCGPOFIX演示：在2003中實(shí)現(xiàn)組策略使用GPMC管理組策略對(duì)象Q&AQ&A參考資料參考資料高效管理現(xiàn)代企業(yè)網(wǎng)絡(luò)的有力武器

—組策略技巧與實(shí)踐(二)高效管理現(xiàn)代企業(yè)網(wǎng)絡(luò)的有力武器

議程組策略實(shí)戰(zhàn)管理——GPMC組策略對(duì)象的備份與還原組策略對(duì)象的遷移評(píng)估組策略執(zhí)行結(jié)果組策略簡(jiǎn)單排錯(cuò)組策略高級(jí)應(yīng)用技巧ADM模版文件定制與使用組策略過(guò)濾器WMIFilterSecurityFilterWindowsServer2003組策略改進(jìn)資源微軟資源第三方資源議程組策略實(shí)戰(zhàn)管理——GPMC組策略實(shí)戰(zhàn)管理——GPMC組策略實(shí)戰(zhàn)管理——GPMCGPMC概覽什么是GPMC(grouppolicymanagementconsole)?管理組策略的新工具:提供一組可編程對(duì)象用于管理組策略基于這些對(duì)象的MMCSnap-inGPMC設(shè)計(jì)目標(biāo)統(tǒng)一的組策略管理提供更好的用戶界面解決組策略部署中的關(guān)鍵性問(wèn)題允許通過(guò)腳本的方式來(lái)實(shí)現(xiàn)對(duì)組策略的操作GPMC概覽什么是GPMC(grouppolicyGPMC特性概覽管理組策略的全新UI報(bào)告功能:可用HTML方式查看GPO設(shè)定和RSoP數(shù)據(jù)提供對(duì)GPO設(shè)定只讀訪問(wèn)備份、恢復(fù)GPOs導(dǎo)入、導(dǎo)出功能搜索功能與RSoP整合所有操作均可通過(guò)腳本實(shí)現(xiàn)注意:對(duì)GPO中的設(shè)定不行GPMC特性概覽管理組策略的全新UI關(guān)于GPMC可用于管理Windows?2000

或者WindowsServer2003domains在WindowsServer2003之后將提供獨(dú)立版本(可通過(guò)Web下載)系統(tǒng)需求:WindowsServer2003WindowsXP專(zhuān)業(yè)版(SP1+hotfix):關(guān)于GPMC可用于管理Windows?2000

或者備份、恢復(fù)備份:將GPO設(shè)定保存在文件系統(tǒng)中和導(dǎo)出一樣恢復(fù):將設(shè)定還原GPO必須在同一個(gè)域如果要實(shí)現(xiàn)跨域設(shè)定轉(zhuǎn)移，可以使用導(dǎo)入或者拷貝備份、恢復(fù)備份:備份一個(gè)GPO備份將保存如下設(shè)定(于文件系統(tǒng)中)GPO中的策略設(shè)定GPO上的訪問(wèn)控制列表(ACLs)與WMIfilter的關(guān)聯(lián)(不是filter本身)設(shè)定報(bào)告并不備份GPO與SDOUs之間的關(guān)聯(lián)關(guān)系備份一個(gè)GPO備份將保存如下設(shè)定(于文件系統(tǒng)中)管理備份多個(gè)備份可以保存于文件系統(tǒng)中的同一位置多個(gè)GPOs同一GPO的多個(gè)版本每個(gè)備份可以通過(guò)以下方式標(biāo)識(shí):名字，描述，域，時(shí)間票,，GPO的GUID可以通過(guò)GPMC查詢(xún)管理備份多個(gè)備份可以保存于文件系統(tǒng)中的同一位置恢復(fù)恢復(fù)GPO的所有屬性GPO中的策略設(shè)定GPO的訪問(wèn)控制列表與WMIfilter的關(guān)聯(lián)(不是filter本身)設(shè)定報(bào)告使用相同的GUID與備份GPO在同一個(gè)域并不修改GPO與SDOUs之間的關(guān)聯(lián)關(guān)系恢復(fù)恢復(fù)GPO的所有屬性導(dǎo)入與拷貝：概覽僅僅轉(zhuǎn)移策略設(shè)定不修改:訪問(wèn)控制列表(ACLs)WMIFilter(獲關(guān)聯(lián))SDOUs與GPO的關(guān)聯(lián)關(guān)系可以在同一個(gè)域、多域或者多森林情況下使用導(dǎo)入與拷貝：概覽僅僅轉(zhuǎn)移策略設(shè)定拷貝與導(dǎo)入：比較拷貝來(lái)源:ActiveDirectory?中某個(gè)當(dāng)前存在的GPO目標(biāo):創(chuàng)建一個(gè)新的GPO新的GUID在GPO上使用默認(rèn)的訪問(wèn)控制列表導(dǎo)入來(lái)源:文件系統(tǒng)中某GPO的備份目標(biāo):ActiveDirectory中一個(gè)存在的GPO清除目標(biāo)GPO的當(dāng)前策略設(shè)定保留:目標(biāo)GPO的當(dāng)前訪問(wèn)控制列表與該GPO的關(guān)聯(lián)關(guān)系GPO的GUID拷貝與導(dǎo)入：比較拷貝報(bào)告對(duì)GPO策略設(shè)定以及RSoP數(shù)據(jù)提供HTML報(bào)告

可打印，保存(xml,html)報(bào)告對(duì)GPO策略設(shè)定以及RSoP數(shù)據(jù)提供HTML報(bào)告

搜索 可基于以下條件搜索GPOs名稱(chēng)明確權(quán)限有效權(quán)限WMIfilterGUIDGPOs中的策略設(shè)定例如查找所有：“PolicyAdmins”組可以編輯的并包含“文件夾重定向”設(shè)定的GPOs搜索 可基于以下條件搜索GPOs使用GPMC

解決組策略管理的關(guān)鍵問(wèn)題demo使用GPMC

解決組策略管理的關(guān)鍵問(wèn)題demoOU’sA1A2理解組策略使用環(huán)境的復(fù)雜性哪一個(gè)是我的

策略?GPO’sA4A5A1A2A3ADomainSiteBGPO’sB1B2DomainOU’sB1B2B3組策略不跨域繼承Slower站點(diǎn)由子網(wǎng)組成，可能會(huì)垮多個(gè)域。GPOs不跨域儲(chǔ)存單個(gè)SDOU上可能關(guān)聯(lián)了多個(gè)GPOs一個(gè)GPO也可能和多個(gè)SDOUs關(guān)聯(lián)。任何SDOUs可以和任何GPOs關(guān)聯(lián)，甚至跨域

(這樣可能會(huì)非常慢)可以通過(guò)對(duì)安全組的權(quán)限設(shè)定(ACLs)來(lái)實(shí)現(xiàn)GPO的過(guò)濾OU’sA1A2理解組策略使用環(huán)境的復(fù)雜性哪一個(gè)是我的

策略RSoPRSoP(ResultantSetofGroupPolicy)Win2k推出后，客戶對(duì)于組策略的第一改進(jìn)要求兩種模式LoggingMode:哪些策略已應(yīng)用PlanningMode:哪些策略將應(yīng)用RSoPRSoP(ResultantSetofGrRSoP工具RSoP工具RSoPMMCsnap-in關(guān)于已應(yīng)用策略的詳細(xì)信息可以遠(yuǎn)程使用GPResultv2.0命令行工具可以遠(yuǎn)程使用“幫助與支持中心”的HTML報(bào)告可以保存、打印Win2000中不支持這些工具RSoP工具RSoP工具GPOModelingWindowsServer2003提供RSoP的Planning模式允許模擬在AD中的某個(gè)用戶或者某臺(tái)計(jì)算機(jī)上的設(shè)定模擬選項(xiàng):Whatif分析:改變管理范圍改變安全組的成員改變WMIFilter狀態(tài)關(guān)聯(lián)站點(diǎn)慢速鏈接Loopback在哪臺(tái)域控制器上運(yùn)行GPOModelingWindowsServer200RSoP工具demoRSoP工具demo組策略的診斷排錯(cuò)GPOTOOL對(duì)象校驗(yàn)工具GPRESULT顯示GPO結(jié)果SECEDIT刷新策略組策略的診斷排錯(cuò)GPOTOOL組策略高級(jí)應(yīng)用技巧組策略高級(jí)應(yīng)用技巧組策略管理模板通過(guò)策略修改注冊(cè)表設(shè)置Registry.pol文件標(biāo)準(zhǔn)管理模板文件System.admInetres.admConf.admWmplayer.admWuau.admInetsec.ad