模板
教程
环境
性能
功能
管理
Windows 2000活动目录管理简明手册
发表于：2007-06-08来源：作者：点击数：
标签：
[HTML]在基于 Windows 2000网络中，活动目录(Active Directory)是它的核心。活动目录是一个分布式的目录服务。网络信息可以分散在多台不同的计算机上，保证快速访问和容错；同时不管用户从何处访问或信息处在何处，对用户都提供统一的视图。可以这样说：没有
[HTML]在基于Windows 2000网络中，活动目录(Active Directory)是它的核心。活动目录是一个分布式的目录服务。网络信息可以分散在多台不同的计算机上，保证快速访问和容错；同时不管用户从何处访问或信息处在何处，对用户都提供统一的视图。可以这样说：没有活动目录，就没有Windows 2000。一、活动目录基础(一)活动目录概览
1.什么是活动目录活动目录是Windows 2000网络中的目录服务。目录服务是一种网络服务，它存储关于网络资源的信息，并使用户或应用程序可以访问这些资源。活动目录使用同样的方法命名、描述、查找、访问、管理和保护这些资源的信息。(1)活动目录的功能：活动目录提供的服务功能，包括一种集中组织、管理和控制网络资源访问的方法。它使物理网络拓朴和协议透明化，这样网络上的用户可以访问任何资源，而不需要知道资源在什么地方，或物理上它是如何连接到网络上的。(2)集中式管理：一个运行Windows 2000的服务器在活动目录中存储系统配置、用户简介和应用程序的信息。与组策略相结合，活动目录可以使管理者使用同样的管理界面管理分布式桌面、网络服务和来自中心位置的应用程序。活动目录同时提供对网络资源集中控制，允许用户只登录一次就可以访问整个活动目录的资源。2.活动目录对象活动目录存储网络对象的信息。活动目录对象代表网络资源。如用户、组、计算机和打印机。而且，网络中所有的服务器、域和站点都作为对象。因为活动目录代表了所有网络资源，只需要一个管理员就可以管理这些资源。3.轻型目录访问协议轻型目录访问协议(Lightweight Directory Aclearcase/" target="_blank" >ccess Protocol，LDAP)是用于访问活动目录的协议。LDAP是用于查询和更新活动目录的目录服务协议。LDAP协议规范表明，一个活动目录对象可以由一系列域组件、OU和普通名字来代表，它们组成了活动目录中的命名路径。LDAP命名的路径是用来访问活动目录对象的，它包括了下面的两类：(1)标识名(Distinguished Name)：在活动目录中每个对象都有一个标识名，标识名确定了对象所在的域和可以找到对象的完整路径。比如，典型的标识名包括：CN=TOM，OU=Manager，DC=Tech，DC=COM
(2)相对标识名(Relative Distinguished Name)：LDAP相对标识名是LDAP标识名的一部分，它用来标识容器中的对象，它的组成随客户建立的现场搜索内容的大小而变化。搜索内容的范围可以是域组件，也可以是普通名字的对象。下表中给出了标识名，客户建立的搜索内容和相对标识名的具体的例子。
(二)活动目录结构1.活动目录的逻辑结构(1)域：域(Doamin)是活动目录中逻辑结构的核心单元，一个域包含许多台计算机，它们由管理员设定，共用一个目录数据库。一个域有一个唯一的名字，给那些由域管理员集中管理的用户账号和组账号提供访问通道。要创建域，用户必须将一个或更多的运行Windows 2000 Server的计算机升级为域控制器。每个域至少必须包含一个域控制器。(2)组织单元：组织单元(Organizational Units，OU)是一个起组织作用的单位。它可将用户、组、计算机和其他单位放入其中的活动目录容器。组织单元不能包括来自其他域的对象。组织单元是可以指派组策略设置或委派管理权限的最小作用域或单位。使用组织单元，用户可在组织单元中代表逻辑层次结构的域中创建容器。这样用户就可以根据用户的组织模型管理账户和资源的配置和使用。(3)目录树和目录林：活动目录中的每个域利用DNS(Domain Name Server，域名服务)域名加以标识，并且需要一个或多个域控制器。如果用户的网络需要一个以上的域，则用户可以创建多个域。共享相同的公用架构和全局目录的一个或多个域称为域林。如果树林中的多个域有连续的DNS域名，则该结构称为域树。如图所示。如果相关域树共享相同的活动架构以及目录配置和复制信息，但不共享连续的DNS名称空间，则称之为域林。域树和域林的组合为用户提供了灵活的域命名选项。连续和非连续的DNS名称空间都可加入到用户的目录中。(4)全局目录：一个域的活动目录类似于一本书的目录，那么全局目录就好像是一系列书的总目录。在全局目录中包含一个已有活动目录对象属性的子集。默认情况下，存储在全局目录中的对象属性是那些经常用到的内容，而非全部属性。全局目录服务器是一个域控制器，活动目录建立的第一个域控制器自动成为全局目录服务器。全局目录就放在全局目录服务器上。2.活动目录的物理结构(1)域控制器：域控制器就是存储活动目录的地方，一个域可以有一个或几个域控制器。在域中，各域控制器相互复制活动目录的改变，在目录林中，各域控制器相互之间也把信息自动复制给对方。(2)站点：站点(Site)是由一个或多个IP子网中的一组计算机，确保目录信息的有效交换，站点中的计算机需要很好地连接，尤其是子网内的计算机。站点和域名称空间之间没有必要的连接。站点反映网络的物理结构，而域通常反映用户单位的逻辑结构。逻辑结构和物理结构相互独立，所以网络的物理结构及其域结构之间没有必要的相关性，活动目录允许单个站点中有多个域，单个域中有多个站点。如果配置方案未组织成站点，则域和客户之间的信息交换可能非常混乱。站点能提高网络使用的效率。二、安装活动目录
(一)安装活动目录的要点
首先，也是最重要的一点，就是你必须有安装活动目录的管理员权限，否则无法安装。在安装活动目录之前，要确保计算机满足基本系统要求：(1)计算机运行Windows 2000 Server版本，且系统盘是NTFS分区。(2)用于活动目录数据库的最小磁盘空间为200MB，另外还要有50MB的空间用于活动目录数据库的日志文件。(3)已做好了DNS服务器的解析。DNS(Domain Name Server, 域名服务器)是活动目录的基础，没有DNS就不会有活动目录。DNS也叫域名服务，它的作用是将某个域名与IP地址对应，从而将人易于理解的域名转达化为易于计算机寻址的IP地址。而如果活动目录中的资源对应的是LDAP标识，那么只需要DNS中有这个标识的定位记录就可以很方便地供用户查找资源，并寻址到相应的位置上。有关DNS服务器的配置，读者可以参考《电脑报2001年合订本》下册附录中《ⅡS 5.0网络建站完全手册》一文。(二)安装活动目录
运行活动目录安装向导将Windows 2000 Server升级为域控制器以创建一个新域，或者向现有的域添加其他域控制器。1.安装域里的第一台域控制器在安装活动目录前首先确定DNS服务正常工作，下面我们来安装根域为lanyi.com的第一台域控制器。(1)运行位于C:\Winnt\System32目录下的dcpromo.exe文件，以启动活动目录安装向导。点击“下一步”按钮。(2)由于用户所建立的是域中的第一台域控制器，所以在“域控制器类型”对话框中选择“新域的域控制器”选项，然后点击“下一步”按钮。(3)在“创建目录树和子域”对话框中选择“创建一个新域的域目录树”，点击“下一步”按钮。(4)在“创建或加入目录林”对话框中选择“创建新的域目录林”，点击“下一步”按钮。(5)在“新的域名”对话框中的“新域的DNS全名”框中输入需要创建的域名，这里是lanyi.com。点击“下一步”按钮。(6)在“NetBIOS域名”对话框中，安装向导自动将域控制器的NetBIOS名设置为“LANYI”，点击“下一步”按钮。(7)在“数据库和日志文件位置”对话框中，将显示数据库、日志文件的保存位置，一般不必作修改。点击“下一步”按钮。(8)在“共享的系统卷”中，指定作为系统卷共享的文件夹。Sysvol文件夹存放域的公用文件的服务器副本。Sysvol广播的内容被复制到域中的所有域控制器。其文件夹位置一般不必作修改。点击“下一步”按钮。(9)在“配置DNS”对话框中，点击“下一步”按钮(如果在安装活动目录之前未配置DNS服务器，可以在此让安装向导配置DNS，推荐使用这种方法)。(10)在“权限”对话框中为用户和组选择默认权限，考虑到现在大多数单位中仍然需要使用Windows 2000的以前版本，所以选择“与Windows 2000服务器之前版本相兼容的权限”选项，点击“下一步”按钮。(11)在“目录服务恢复模式的管理员密码”对话框中输入以目录恢复模式下的管理员密码。点击“下一步”按钮。(12)此时，安装向导将显示安装摘要信息。点击“下一步”按钮即可开始安装，安装完成之后，重新启动计算机即可。2.检验安装结果安装完成后，可以通过以下方法检验活动目录安装是否正确，在安装过程中一项最重要的工作是在DNS数据库中添加服务记录(即SRV记录)。(1)检查DNS文件的SRV记录：用文本编辑器打开%systemroot%\system32\config\中的Netlogon.dns文件，查看LDAP服务记录，在本例中为_ldap._tcp.lanyi.com.600 IN SRV 0 100 389 n2k_server.lanyi.com.(2)验证SRV记录在NSLOOKUP命令工具中运行正常：在命令提示行下，输入“nslookup”命令；输入“set type=srv”命令；然后输入_ldap._tcp.lanyi.com。此时如果返回了服务器名和IP地址，说明SRV记录工作正常。另外，当安装完毕后，在管理工具中提供了三个工具：Active Directory用户和计算机、Active Directory域和信任关系、Active Directory站点和服务。同时系统还提供了Active DirectorySchema和ADSI，主要用于Active Direttory开发的工具。Active Directory用户和计算机工具是配置互动目录最常用的工具，在后面我们将详细介绍它的使用方法。3.删除活动目录与安装活动目录一样，运行dcpromo.exe文件即可。三、设置管理用户和组
在网络中为用户开设账户的工作即是一项基本功能，又是一项非常重要的工作，因为账户与权限有关。用户账号保存在活动目录中，为该用户账号启动唯一登录的对象。唯一登录是指从工作站登录获得网络资源的访问过程中，用户只能输入一次名字和密码。域用户账号可以登录到域访问网络资源，或是登录到个人计算机上访问本机上的资源。(一)用户登录名
1.用户主名在活动目录中，每个用户都有一个用户登录名，和一个pre-Windows 2000用户登录名。用户账户信息用来验证和认可目录林中任何地方的用户，这就导致了唯一登录。用户主名是只用于登录Windows 2000网络上的登录名。也可将此名看作是用户登录名。一个用户主名有两个部分，它们用@符号隔开。如[email protected]。一个用户登录名有以下两个组成部分：用户主名前缀：在[email protected]是apple。用户主名后缀：在[email protected]是lanyi.com。默认情况下，后缀是网络中根域的名字。用户可以使用网络中的其他域来为用户配置其他的后缀。2.创建用户主名后缀(1)点击“开始→程序→管理工具→Active Directory域和信任关系”选项，右击“Active Directory域和信任关系”选项，选择“属性”命令。(2)在打开的对话框的“UPN后缀”选项卡中输入一个可供选择的后缀名，如lanyi.com，然后点击“添加”按钮。(二)管理用户账号
1.创建一个用户账号(1)点击“开始→程序→管理工具→Active Directory用户和计算机”选项，在打开的窗口的左侧栏中右击“user”容器，选择“新建对象”命令。(2)在打开的“新建对象”对话框中，输入姓名和用户登录名。点击“下一步”按钮，输入用户密码。其中：用户下次登录时需要更改密码：如选中此项，用户下次登录时将提示用户重新输入新密码。用户不能更改密码：这一选项保证用户密码不能被修改。密码永不过期：如选中此项，密码将永不过期。因为过期的密码将不能使用，过期时间在账户安全策略中设置，或在账户属性对话框中修改。账户已停用：表明此账户已被停止使用，如想让账户解锁，必须由管理员在用户属性对话框中设置。2.执行公共管理任务(1)禁用和启用用户账号：当用户一段时间内不需要他们的账号，但一段时间后需要使用它们时，管理员可将此用户账号禁用。在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后根据该账号的当前状态点击“停用账户”或“启用账户”命令即可。(2)重设密码：当在用户改变密码前密码期满或是用户忘记密码的情况下，管理员需要重新设置密码。在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后点击“重设密码”命令即可。(3)在一个域内移动用户账号：必要时，管理员可能需要在同一个域内的OU之间移动用户账号。例如一个职员从一个部门调到另一个部门，这样将由另一个管理员管理该职员的用户账号。在“Active Directory用户和计算机”窗口中，右击相应的用户账号，点击“移动”命令。在打开的“移动”对话框中，双击域目录树，点击对象要移入的OU，然后点击“确定”按钮即可。(4)删除用户账号：在活动目录中存在有无用的账号，如果一个授权用户能够使用一个无用的账号登录可能会引起网络安全的风险，所以对无用的账号应当删除。在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后点击“删除”命令即可。(5)重命名用户账号：如果管理员想保留以前某个账户所指定的各种属性和权限给一个新的用户时，可以将以前的账户重命名。在“Active Directory用户和计算机”窗口中，右击相应的用户账号，然后点击“重命名”命令即可。3.为域用户账号设置属性(1)设置个人属性：在“Active Directory用户和计算机”窗口中，右击相应的用户账号，点击“属性”命令即可打开相应的属性对话框。在该对话框中，各个选项卡对应于不同的用户设置，你可以根据具体的情况尽可能的详尽填写。这样做的好处是利于以后的账户查找。(2)设置账户属性：在“账户”选项卡中管理员可以指定用户的登录名称，设置账户选项，指定账号失效日期。你可以在该选项卡下配置当你创建该账户时指定的设置值，如用户登录名和登录选项。可以修改密码需求条件，为此，在“账户选项”选项组下选择相应的复选框即可。除此之外，还可以在该选项卡下设置用户账户的失效日期。到达这一日期后，Windows 2000将自动禁用相应的账户。默认情况下，用户账号永不失效。为此，你只需要在“账户过期”选项组中，点击“在这之后”选项，然后从列表中选择一个失效日期，点击“确定”按钮。(3)指定登录选项：你可以通过设置用户的登录时段，控制用户可以在哪些时段登录到指定的域，你也可以通过设置登录工作站，来控制用户可以从哪个计算机登录到指定的域。在默认情况下，用户可以每周七天，每天24小时连接到服务器。在高安全性网络中，你可能想限制用户可以登录到网络的时段。为了设置登录的时段，你可以按照下面的步骤进行：在“账户”选项卡中点击“登录时间”按钮，打开相应的对话框。其中蓝色指示该用户可以登录到的时段，而白色框指示该用户不能登录到的时段。在“天”和“时”框中，选择你想拒绝访问的时段框，并点击开始时间，然后向终止时间拖动，再点击“拒绝登录”或“允许登录”选项即可。同样的，你也可以指定用户从哪个计算机登录，在默认情况下，具有合法账号的任何用户都可以在运行Windows 2000的任何计算机登录到网络。在“账户”选项卡中点击“登录到”按钮，然后在打开的对话框中点击“下列计算机”选项，添加用户可以进行登录的计算机。为此，在“计算机名称”框中输入计算机的名称，点击“添加”按钮即可。4.用户配置文件在Windows 2000中，用户的工作环境主要由用户配置文件定义的。为了安全性的目的，Windows 2000要求每一个访问系统的用户账号都有一个用户配置文件。用户配置文件包含所有必要的设置值，这些设置值包括显示器、区域设置、鼠标和声音设置等，除此之外还包括网络和打印机连接。(1)用户配置文件的类型：用户配置文件在用户第一次登录到计算机时创建。所有针对具体用户的设置值都自动保存在该用户的文件夹中，即C:\Documents and Settings\用户名。默认的用户配置文件：用作所有用户配置文件的基础。每个用户配置文件都开始于默认的用户配置文件的一个复制件。本地用户配置文件：在用户第一次登录到计算机时创建，并被存储在本地计算机中。每个计算机上可以有多个这样的配置文件。漫游用户配置文件：由系统管理员创建，并存储在某个服务器上。在任何时候，用户登录到网络中的任何计算机时，这一配置文件都是可用的。如果某个用户修改了他的桌面设置值，在该用户撤销登录时，这一用户配置文件即在服务器上更新。强制性用户配置文件：由管理员创建，用于为某个或某些用户指定特定的设置值。强制性用户配置文件可以是本地的或是漫游的用户配置文件。它不保存对用户桌面设置值的任何修改，用户可以修改他所登录的计算机的桌面设置值，但是当他们退出登录时，这些修改不被保存。(2)创建漫游的和强制性漫游的用户配置文件：让我们来创建漫游的用户配置文件：在某个服务器上创建一个共享的文件夹，并为用户提供对于该文件夹的“完全控制”的权限。在用户账号属性对话框中，点击“配置文件”选项卡，在“配置文件路径”框中输入相应的路径信息，用以指定共享文件夹。键入的路径信息应该是\\server_name\shared_folder_name\user_name。可以采用变量%user_name%，而不键入具体的用户名称，此时，Windows 2000将自动用漫游用户配置文件的用户账号名称替代%user_name%。下面再让我们来创建一个强制性的漫游用户配置文件：首先在某个服务器上创建一个共享文件夹，其中包含一个配置文件夹，创建的用户配置文件将被置于该文件夹中。为用户提供对于这一配置文件夹的“完全控制”权限。例如创建一个名称为“Profiles”文件夹，然后在该文件夹中创建一个名为“User1”的文件夹。建立一个已经配置的漫游用户配置文件。在“Active Directory用户和计算机”窗口中创建一个新的用户，指定该用户的配置文件夹作为路径信息，然后配置该配置文件。如创建一个名称为User1的用户，并指定配置文件的路径为\\server_name\Profiles\user1。为了配置该配置文件，以User1作为用户名称登录到域，必要的时候修改桌面设置值，然后退出登录。将配置文件Ntuser.dat重命名为Ntuser.man。这样做将使配置文件成为只读的，并因此而成为强制性的。(三)活动目录中的组
组是可包含用户、联系人、计算机和其他组的Active Directory或本机对象。使用组可以简化管理。1.从组的类型分类(1)安全组：用于将用户、计算机和其他组收集到可管理的单位中。为资源(文件共享、打印机等)指派权限时，管理员应将那些权限指派给安全组而非个别用户。权限可一次分配给这个组，而不是多次分配给单独的用户。(2)分布组：只能用作电子邮件的组。不能用于筛选组策略设置。该组无安全功能。上述两种组都支持域本地、全局或通用组范围中的一种。2.域模式在学习本地、全局或通用组之前，我们需要先讲述一下域的模式。域模式共有两种，混合模式和本机模式。计算机刚升级为Windows 2000域控制器时，默认情况下为混合模式，如果你想更改为本机模式，可以按照下面的步骤进行：在“Active Directory用户和计算机”窗口中，右击域名，选择“属性”命令。此时，你可以在打开的对话框的“常规”选项卡“域模式”选项组中，点击“更改模式”按钮，在打开的对话框中点击“是”按钮，即可将域模式改为本机模式。3.全局组利用这一组作用域，来组织那此具有类似的网络访问需求的用户。你可以利用全局组授予访问任何域上的资源的权限(1)成员资格。混合模式可以包含来自同一域的用户账号。本机模式可以包含来自同一域的用户账号和全局组。(2)成员范围。在混合模式中，全局组可以是域本地组的一个成员。在本机模式中，全局组可以是任何一个域中的通用和域局部组，以及同一域中的全局组的成员。(3)作用范围。全局组在它的域及包括目录林中的所有域的所有信任域中都是可见的。(4)权限范围。目录林中的所有域。4.域本地组利用这一组作用域，可以授予访问域资源的权限。这些权限要位于创建该域本地组的域中，但是不必驻留在某个域控制器上。(1)成员资格。混合模式可以包含任何域的用户和全局组。本机模式可以包含目录林中的任何域的用户账号、全局组和通用组以及同一域的域本地组。(2)成员范围。在混合模式中，域本地组不能是任何组的成员。在本机模式中，域本地组可以同一域中的域本地组的成员。(3)作用范围。域本地组只在它自己的域中可见。(4)权限范围。域本地组位于其中的域。5.通用组利用通用组可以为多个域中的相关资源授权。利用通用组可以授予访问任何域上资源的权限。(1)成员资格。在混合模式中不能创建通用组。本机模式可以包含来自目录林中的任何域的用户账号、全局组和其他通用组。(2)成员范围。通用组在混合模式中不适用。在本机模式中，通用组可以是任何域中的域本地和通用组的成员。(3)作用范围。通用组在目录林中的所有域中都是可见的。(4)权限范围。目录林中的所有域。6.在域中使用组的管理思想经过上面的介绍，相信大家知道组是可以嵌套的，而且有了组，对于多个相同权限的用户，再也不用分别给每个用户赋权了，只需给一个组赋权就可以了。那么在Windows 2000域中使用组应遵循什么原则呢？这个原则其实很简单，那就是：将用户加入全局组；将全局组加入域本地组；给本地组赋权。这也就是AGDLP，其中A(User Account，用户账号)G(Globle Group，全局组)DL(Domain Local Group，域本地组)P(Permissions，权限)策略。这个策略是一种管理思想的体现，它提供了最大的灵活性；同时又降低了给网络分配权限的复杂性，尤其在有多个域时，这个策略就更加具有优势，如果只有一个域，那么这个策略就可以更简化了。四、在活动目录上发布资源
发布的意思可以简单地理解为在活动目录中可见。在活动目录中发布资源要注意发布相对静态的、很少改变的资源。1. 资源的发布
(1)公布共享文件夹：要想将共享文件夹发布在活动目录上，就必须手工加入，而不会自动产生。首先在“Active Directory用户和计算机”窗口中双击域节点。然后右击想在其中添加共享文件夹的文件夹，选择“新建→共享文件夹”命令，打开共享文件夹对话框，键入文件夹的名称，键入用户想在目录中公布的UNC名称即可。(2)公布Windows NT打印机：域中的Windows 2000计算机上的打印机都将自动发布在活动目录中，下面我们讲述非Windows 2000计算机上的打印机。首先在“Active Directory用户和计算机”窗口中双击域节点。然后右击想在其中公布打印机的文件夹，选择“新建→打印机”命令，打开相应的对话框，在其中键入用户想在目录中公布的UNC名称即可。2.资源的查找
在“Active Directory用户和计算机”窗口中，右击域节点，点击“查找”命令，打开“查找”对话框，点击“自定义搜索”按钮。点击“字段”，指向要搜索的对象种类，然后点击要为其指定搜索值的对象的属性；在“条件”中，点击搜索的条件；在“值”中，键入要应用搜索条件的属性值。点击“添加”按钮，将该搜索条件添加至自定义搜索。点击“开始查找”按钮即可开始搜索。重复上面的步骤可以添加所需的全部搜索条件。五、实现组策略
组策略(GPO)为网络提供了比用户和计算机更多的管理控制能力。通过使用组策略，一旦定义了用户的工作环境，就可以依赖Windows 2000来连续推行定义好的组策略设置。可以将组策略应用到整个网络中，也可以仅将它应用到某个特定的用户或计算机组上。(一)组策略基础
1.组策略的作用使用组策略可以：(1)通过站点或域的级别，为整个组织设置组策略的集中化策略，或者在组织单元的级别，为每个部门设置组策略的分散式策略。(2)确保用户有适合完成他们工作的环境。(3)降低控制用户和计算机的总费用。2.组策略类型 管理员模板：即基于注册的设定应用设置和桌面环境的设置。安全性：即配置本地计算机、域及网络安全性设置的设置。软件安装：即软件安装、升级、卸载的集中化管理的设置。命令：即当Windows 2000运行特定命令时的指定设置。远程安装服务：即当运行远程安装服务(RIS)的远程安装向导时控制用户可能的选项设置。Inte.net Explorer维护：即管理和定制基于Windows 2000计算机的Internet Explorer的设置。文件夹再定向：即在网络服务器上存储用户个性化文件夹的设置。3.计算机组策略和用户组策略 组策略中有计算机组策略和用户组策略设置。计算机组策略设置有：操作系统行为、桌面行为、安全性设置、计算机的启动和关机命令、计算机赋予的应用程序选项以及应用程序设置。用户组策略设置有：操作系统行为、桌面行为、安全性设置、赋予的和分布的应用程序选项、应用程序设置、文件夹的重定向选项以及用户登录和退出登录命令。注意：通常计算机组策略在和用户组策略冲突时，计算机组策略有优先权。将组策略和站点、域或组织单位链接后。组策略的设置将应用在站点、域或组织单位的用户和计算机上。管理员不能将组策略和默认的活动目录容器──计算机、用户和Builtin相连，因为它们不是OU(组织单元)。(二)创建组策略和组策略的继承
1.创建组策略通过使用活动目录用户和计算机来为域和OU创建组策略，执行下面步骤：(1)在“Active Directory用户和计算机”窗口中右击想创建组策略的域或OU，然后点击“属性”命令。(2)在打开的“组策略”对话框中点击“新建”按钮，然后为新的组策略输入名称，默认为“新建组策略对象”。2.连接组策略 连接一个已存在的组策略到域和OU上，执行下面步骤：(1)在“Active Directory用户和计算机”窗口中右击想创建组策略的域或OU，然后点击“属性”命令。 (2)在“组策略”对话框中点击“添加”按钮。(3)在打开的“添加组策略对象属性”对话框中的“域/OUs”、“站点”或“所有”选项卡中，点击确认要连接的组策略即可。注意：任何一个拥有该组策略的读写权限的人都可以对它做出修改。 3.组策略继承组策略的继承性包括Windows 2000在活动目录中处理组策略的顺序，以及在连接到母容器的组策略的继承性。其继承流程是：默认组策略被继承。子容器从父容器那里继承组策略，意味着子容器可能拥有多个用于用户和计算机的组策略设置。不止一个组策略与它连接。如果一个站点包含一个域以上计算机，连接到该站点的组策略中定义的组策略设置将应用到所有登录到该站点的计算机设置用户上，不管计算机和用户账号是否存在该域中。域控制器每5分钟刷新一次组策略，重要的组策略设置将在危急的服务器中快速发挥作用。Windows 2000首先处理计算机设置，然后处理用户设置。下表列出了客户端扩展和对应组策略设置类型(位于C:\Winnt\System32目录中)：
4.解决组策略的冲突 如果发生冲突，默认的是执行最新的设置；除非用户设置和计算机设置冲突。而在大多数场合下，计算机设置高于用户设置。组策略是累积的，除非两个或多个设置冲突，否则所有组策略设置都将被执行；当冲突发生时确定执行哪个组。 策略设置的原则是：(1)来自母容器的组策略设置，和来自子容器的组策略设置冲突，子容器的设置后执行并发挥作用。(2)连接到同一容器上的，不同的组策略的设置发生冲突，在容器属性对话框中，组策略列表中最高位置的组策略设置后执行并发挥作用。组策略累积处理的例外是IP安全性设置和用户权限设置。当执行IP安全性设置和用户权限设置时，最新执行的组策略将改变以前组策略。5.修改组策略的继承性阻止继承，将不允许子容器从母容器那里继承组策略设置。允许在一个子容器阻止继承，将阻止容器所有的组策略设置而不是单个设置。当活动目录的容器需要唯一的组策略设置，和需要确保设置不被继承时，这一功能将是很有用的。阻止子容器的组策略容器继承，执行下列步骤：(1)在“Active Directory用户和计算机”窗口中打开想阻止继承的域或OU的“属性”对话框。(2)在“组策略”对话框中，点击“阻止组策略继承”项即可。注意：阻止组策略继承的两个局限。即你无法选择阻止哪个组策略；不能阻止连接在母容器设置为不重写(禁止代替)的组策略。6.监控组策略(1)启用诊断记录：启用组策略的诊断记录，促成组策略在事件日志中产生具体事件。这些具体事件，能够通过返回事件以及提供附加信息，在诊断组策略执行相关问题时提供帮助。以本地管理员的身份登录，然后点击“开始→运行”，在“打开”对话框中输入Regedit，打开注册表的编辑器。定位至HKEYLOCALMACHINE\Software\Microsoft\WindowsNT\Current\Version，然后点击“编辑→新建→项”命令，输入Diagnostics后按回车。选择上面建立的Diagnostics项，点击“编辑→新建→双字节值”命令，输入RunDiagnosticsLoggingGlobal后按回车。最后双击RunDiagnosticsLoggingGlobal，输入1即可。(2)启用详细记录：详细记录将记录所有的变更和应用到本地计算机和登录计算机的用户的设置。日志文件位于Systemroot\Debug\Usermode文件夹下，命名为Userenv.log。启用详细记录将涉及添加详细记录的注册关键词。为了允许详细记录，添加名为UserEnvDebugLevel值为30002双字节记录值到注删表中的HKEYLOCALMACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon下。注意：30002的值允许详细记录，30001仅允许错误和警告记录，30000不记录任何事件。(三)利用组策略1.组策略管理用户环境 管理用户环境意味着用户在登录网络时，控制用户有哪些权力。可以通过控制用户的桌面、网络连接和用户界面来控制用户权力。控制用户环境可以确保用户有执行他们工作所需要的权力，但不能破坏或不恰当地配置他们的环境。用来管理用户环境的四种典型组策略设置类型是，管理模板设置、脚本设置、文件夹重定向和用户界面。组策略管理模板是用来管理用户环境的，基于注册的设置。该设置将修改存放在两个注册表目录树下的设置。其中：计算机设置：在HKEYLOCALMACHINE\Software\Microsoft\Windows\CurrentVersion\Policies中。用户设置：在HKEYCURRENTUSER\Software\Microsoft\Windows\CurrentVersion\Policies中。 2.管理模板设置的类型 管理模板设置的类型分为七种，都是用户和计算机的设置：(1)Windows组件：用户可以访问的Windows 2000及其工具和组件部分。计算机和用户为该设置类型的使用者。(2)系统：登录、退出过程。利用系统设置，可以管理组策略、更新区间、启用磁盘限额和实现回环处理。计算机和用户为该设置类型的使用者。(3)网络：网络连接和拨号连接的属性。计算机和用户为该设置类型的使用者。(4)打印机：打印机设置，可以是自动公布在活动目录中的打印机，并使基于网络的打印无效。计算机为该设置类型的使用者。(5)开始菜单和工具栏：用户可以从开始菜单中访问的功能组件。用户为该设置类型的使用者。(6)桌面：活动桌面。通过隐藏某些桌面图标并控制用户对“我的文档”文件夹使用，可以控制用户对网络的访问。用户为该设置类型的使用者。(7)控制面板：控制面板上的一些应用程序。用户为该设置类型的使用者。禁用桌面的设置。如下表所示：
禁用用户访问网络资源的设置。如下表所示：
禁用用户访问管理工具和应用程序的设置。如下表所示：
3.组策略中的回送处理模式 组策略回送处理模式，可以把用户管理模板设置实现到计算机上。回送处理模式是实施应用于计算机的组策略中的用户配置设置的组策略。对于指定具体任务的计算机或安装了特殊软件的计算机非常有效，按下列步骤启用回环处理模式：(1)打开组策略，展开“计算机配置→管理模板→系统”节点，点击“组策略”选项。(2)双击“用户组策略反向对应处理方式”选项。(3)点击“允许”按钮，然后在“模式”中选中“替换模式”或“合并模式”。“替换模式”处理应用于计算机的组策略；“合并模式”首先处理应用于用户对象的组策略，然后处理应用于计算机对象的组策略。如果设置发生冲突，将实施组策略中的计算机对象设置，因为这些组策略设置最后使用。4.设计组策略模板通过在组策略中配置管理模板扩展名中的设置，实现管理模板的设置。在组策略“属性”对话框中的三个状态说明如下：未配置：不对计算机产生任何变化。启用：把引起的变化添加到注册表中。禁用：防止引起的变化添加到注册表中。右击合适的站点、域或OU，点击“属性”命令，然后点击“组策略”选项卡，建立或选择现存的组策略，点击“编辑”按钮。在组策略中，展开“计算机设置”或“用户设置”选项，然后展开“管理模板”直到确定需要修改的位置。最后在组策略属性面板中，双击需要修改的组策略设置。5.用组策略分配脚本 利用组策略脚本设置，可以把脚本设置成在指定的时间里自动运行。管理员可以利用策略中的脚本扩展来运行批处理文件、可执行程序和支持脚本的Windows脚本主机。组策略脚本设置可集中配置脚本，在计算机启动、关闭、用户登录、退出的时候自动运行。Windows 2000按下列的顺序处理并运行指定脚本的组策略：(1)当用户启动计算机、进行登录时，存在以下几种情况：启动脚本缺省情况下，隐藏、同步运行；登录脚本缺省情况下，隐藏、非同步运行。(2)当用户退出、关闭计算机时，存在以下几种情况：退出脚本运行；关闭脚本运行。注意：处理脚本缺省超时时间是10分种，如要调整时间，可以配置Computer Configuration\Administrative Templates\System\Logon\Maximum wait time中的组策略脚本的等待时间，改变后将影响所有运行脚本。我们可以按下列步骤分配一个脚本：(1)打开组策略中合适的组策略，展开“计算机配置”或“用户配置”，展开“Windows Setting”，点击“脚本”按钮。(2)在脚本的“属性”对话框中，点击“添加”按钮，点击“浏览”按钮，选择需要分配的脚本后点击“打开”按钮，添加需要的脚本参数即可。6.利用组策略重定向文件夹 重定向文件夹，可以确保用户可以获得数据，不管他们在什么计算机上登录。可以重定向文件夹有：我的文档、应用程序数据、桌面和开始菜单，Windows 2000会自动建立这些文件夹。利用重定向文件夹，我们可以：不管用户从什么客户计算机上登录，都可以访问文件夹中的数据；文件夹中的数据集中存储，因此文件夹中的文件将更便于管理和备份；减少网络通信；重定向文件夹的文件，可以当用户登录到客户计算机上的时候，不使用存储空间存储这些文件。如果管理员在重定向文件夹的时候使用变量%Username%，那么Windows 2000将为每个用户在服务器上建立唯一的个人文件夹。按下列步骤重定向文件夹：(1)在“组策略”对话框中点击“编辑”按钮。(2)展开“用户配置→Windows Settings→文件夹重定向”节点。然后右击要重定向的文件夹名字，点击“属性”命令，然后提供目标路径和位置路径即可。7.利用组策略确保用户环境安全 域用户策略成为域成员的、基于Windows 2000的工作站或服务器的预设用户策略，例外的是组织单元定义另一个用户策略的时候，组织单元的用户策略设置影响到组织单元中任何计算机上的本地策略。而本地策略设置只在利用计算机本地用户登录时候应用。按下列步骤把安全模板引用到组策略中：展开组策略中的“计算机配置→Windows Settings→安全设置”节点。右击“安全设置”，然后点击“引入策略”。选择需要引用的安全模板即可。另一种应用安全策略的方式是为每台计算机配置安全设置，要配置安全设置，需要执行下列任务：展开“计算机配置→Windows Settings→安全设置”节点。在策略属性对话框中，双击需要配置的安全设置。在“策略”选项卡上，通过选择三种状态的一种来配置安全设置：启用、禁用、未配置。 六、使用组策略管理软件(一).使用组策略管理软件
管理软件的过程包括：预备：准备一个文件，以便应用程序能使用组策略布置。布置：管理员创建一个在计算机上安装软件，并将组策略链接到相应的活动类别容器的组策略对象。维护：用新版本的软件升级软件或用补丁来重新布置软件。删除：为消除不再使用的软件，从开始布置软件的组策略中删除软件包设置。将软件分配给用户和计算机：在用户配置过程中，在用户登录时应用程序被通告，安装不会自动开始。这样可以节省了硬盘空间和时间。在计算机配置过程中，当给计算机分配软件时，不会出现通告，软件被自动安装。可以确保相应的应用程序在那台计算机上总是可用的无论谁使用那台计算机。2.用户安装发布的软件
可以将软件分配给用户和计算机。分配软件包确保软件对于用户和计算机是可用的。分配软件确保用户需要的所有应用程序都安装到了他们的计算机上，用户下一次登录时，新安装的软件会出现在他们的桌面上。当软件出现后，应用程序的开始菜单快捷方式和桌面图标也出现了。用户可以采用下面两种方法之一来安装发布的软件： (1)使用控制面板双击“添加/删除程序”，选择需要的应用程序，点击“安装”按钮。(2)使用文档激活的方法。当应用程序发布在活动类别中时，它所支持的文档扩展文件名在活动类别中注册了， 如果双击一个未知类型文件，计算机就会安装它。 3.布置软件
按下列步骤使用组策略布置软件：(1)根据软件是分配给用户还是计算机，在“用户配置”或“计算机配置”中创建或编辑一个组策略。(2)布置“软件设置”，右击“软件安装”，选择“新建→程序包”命令，当“文件打开”对话框出现时，选定包文件，点击“打开”按钮。(3)在“布置软件”对话框中，选定一种布置方法即可。改变一个软件包的软件布置选项，执行下列步骤：(1)在软件安装中，右击布置的包，然后点击“属性”命令。(2)在应用程序的“属性”对话框中，点击“布置”选项卡，设置下表描述的选项的任意组合。
设置软件安装默认选项，请执行下列步骤：(1)根据软件是要分配给用户还是计算机，或是发布，在“用户配置”或“计算机配置”中创建或编辑一个组策略。(2)布置“软件设置”，右击“软件安装”，点击“属性”按钮。(3)在“软件安装属性”对话框中，点击“常规”选项卡，设置下表描述的选项的任何组合。
可以布置一个应用程序的几个不同配置并且控制如何分配或发布应用程序。使用软件修改，执行下面步骤：(1)在将一个新包添加到一个组策略中或在此包布置前，打开应用程序包的“属性”对话框，点击“修改”选项卡。点击“增加”按钮。(3)在“打开”对话框中，选择修改(.mst)文件的路径和文件名，点击“打开”按钮即可。 4.创建软件类别
创建软件类别，执行下面步骤：(1)根据软件是要分配给用户还是计算机，或是发布，在“用户配置”或“计算机配置”内创建或编辑一个组策略。(2)布置“软件设置”，右击“软件安装”，然后点击“属性”按钮，在打开的对话框中点击“类别”选项卡。(3)点击“增加”、“修改”或“删除”按钮创建并编辑类别名。管理员还可以控制哪个应用程序首先和文件扩展名关联。修改文件扩展名优先权，执行下列步骤： (1)打开用于布置应用程序的组策略。布置“用户配置”，然后打开软件安装的“属性”对话框。(3)在软件安装的“软件安装属性”对话框中，点击“文件扩展”选项卡，单击(向上)或(向下)来设置优先次序。 5.维护布置的软件
维护布置的软件在于：升级布置的软件、重新布置软件。升级布置的软件：可以进行强制升级或可选升级。强制升级用于强迫用户升级到当前最新的版本。可选升级用于允许用户同时使用一个程序的两个版本。为布置一个升级，执行下列步骤：(1)布置高一级版本软件。(2)打开“软件安装”，右击高一级版本，然后点击“属性”按钮。在包文件的“属性”对话框中，点击“升级”选项卡。在“Packages that this package will upgrade”部分，点击“增加”按钮，选定低版本应用程序。(3)选择升级类型：为进行强制升级，选定“现存软件必须升级”复选框；为进行可选升级，取消选定“现存软件必须升级”复选框。 6.删除布置的软件
删除布置的软件，执行下列步骤：(1)打开原来用于布置软件的组策略。在“软件安装”中，右击包名，选择“所有任务→删除”命令。(2)在“删除软件”对话框中，选择下表描术的选项中的一项，然后单击“确定”按钮。
[/HTML]
