WIN2003組策略詳解

組策略是管理員爲用戶和計算機定義並控制程序、網絡資源及操做系統行爲的主要工具。經過使用組策略能夠設置各類軟件、計算機和用戶策略。例如，可以使用「組策略」從桌面刪除圖標、自定義「開始」菜單並簡化「控制面板」。此外,還可添加在計算機上（在計算機啓動或中止時，以及用戶登陸或註銷時）運行的腳本，甚至可配置Internet Explorer。
　　本文重點介紹的是Windows XP Professional的本地組策略的應用。組策略對本地計算機能夠進行兩個方面的設置：本地計算機配置和本地用戶配置。

        1、組策略的基本知識         組策略是管理員爲用戶和計算機定義並控制程序、網絡資源及操做系統行爲的主要工具。經過使用組策略能夠設置各類軟件、計算機和用戶策略。例如，可以使用「組策略」從桌面刪除圖標、自定義「開始」菜單並簡化「控制面板」。此外,還可添加在計算機上（在計算機啓動或中止時，以及用戶登陸或註銷時）運行的腳本，甚至可配置Internet Explorer。 　　本文重點介紹的是Windows XP Professional的本地組策略的應用。組策略對本地計算機能夠進行兩個方面的設置：本地計算機配置和本地用戶配置。全部策略的設置都將保存到註冊表的相關項目中。對計算機策略的設置保存到註冊表的HKEY_LOCAL_MACHINE的相關項中，對用戶的策略設置將保存到HKEY_CURRENT_USER相關項中。 　　訪問本地組策略的方法有兩種：第一種方法是命令行方式；第二種方法是經過在MMC控制檯中選擇GPE插件來實現的。 　　一、組策略編輯器的命令行啓動 　　您只需單擊選擇「開始」→「運行」命令，在「運行」對話框的「打開」欄中輸入「gpedit.msc」，而後單擊「肯定」按扭便可啓動Windows XP組策略編輯器。（注：這個「組策略」程序位於「C:\WINNT\SYSTEM32」中，文件名爲「gpedit.msc」。） 　　在打開的組策略窗口中，能夠發現左側窗格中是以樹狀結構給出的控制對象，右側窗格中則是針對左邊某一配置能夠設置的具體策略。另外，您或許已經注意到，左側窗格中的「本地計算機」策略是由「計算機配置」和「用戶配置」兩大子鍵構成，而且這二者中的部分項目是重複的，如二者下面都含有「軟件設置」、「Windows設置」等。那麼在不一樣子鍵下進行相同項目的設置有何區別呢？這裏的「計算機配置」是對整個計算機中的系統配置進行設置的，它對當前計算機中全部用戶的運行環境都起做用；而「用戶配置」則是對當前用戶的系統配置進行設置的，它僅對當前用戶起做用。例如，兩者都提供了「停用自動播放」功能的設置，若是是在「計算機配置」中選擇了該功能，那麼全部用戶的光盤自動運行功能都會失效；若是是在「用戶配置」中選擇了此項功能，那麼僅僅是該用戶的光盤自動運行功能失效，其餘用戶則不受影響。設置時需注意這一點。         二、將組策略做爲獨立的MMC管理單元打開 　　若要在MMC控制檯中經過選擇GPE插件來打開組策略編輯器，具體方法以下： 　　（1）單擊選擇「開始」→「運行」命令，在彈出的對話框中鍵入「mmc」，而後單擊「肯定」按扭。打開Microsoft管理控制檯窗口。如圖2所示。 　　（2）選擇「文件」菜單下的「添加/刪除管理單元」命令。 　　（3）在「添加/刪除管理單元」窗口的「獨立」選項卡中，單擊「添加」按扭。 　　（4）彈出「添加獨立管理單元」對話框，並在「可用的獨立管理單元」列表中選擇「組策略」選項，單擊「添加」按鈕。 　　（5）因爲是將組策略應用到本地計算機中，故在「選擇組策略對象」對話框中，單擊「本地計算機」，編輯本地計算機對象，或經過單擊「瀏覽」按扭查找所需的組策略對象。 　　（6）單擊「完成」→「關閉」→「肯定」按扭，組策略管理單元便可打開要編輯的組策略對象。 　　特別提示：假若您但願保存組策略控制檯，並但願可以選擇經過命令行在控制檯中打開組策略對象，請在「選擇組策略對象」對話框中選中「容許在從命令行啓動時更改組策略管理單元的焦點」複選框。         2、「任務欄」和「開始」菜單相關選項的刪除和禁用         在「‘本地計算機’策略」中，逐級展開「用戶配置」→「管理模板」→「任務欄和「開始」菜單」分支，在右側窗格中，提供了 「任務欄」和「開始菜單」的有關策略。 　　一、給「開始」菜單瘦瘦身 　　若是您以爲Windows XP的「開始」菜單太臃腫的話，能夠將不須要的菜單項從「開始」菜單中刪除。在右側窗格中，提供了刪除「開始」菜單中的公用程序組、「個人文檔」圖標、「文檔」菜單、「網絡鏈接」、「收藏夾」菜單、「搜索」菜單、「幫助」命令、「運行」菜單、「圖片收藏」圖標、「個人音樂」圖標和「網上鄰居」圖標等策略。您只要將不須要的菜單項所對應的策略啓用便可。如今以刪除「個人文檔」圖標爲例，具體操做步驟爲： 　　（1）在策略列表窗格中用鼠標雙擊「從「開始」菜單中刪除‘個人文檔’圖標」設置選項。         （2）在彈出窗口的「設置」選項卡中，選擇「已啓用」單選按扭,而後單擊「肯定」按扭便可。         二、保護好你的我的隱私 　　出於某種安全的須要，例如不想讓人知道本身瀏覽過哪些網頁和打開過哪些文件，您只要在右側窗格中將「不要保留最近打開文檔的記錄」和「退出時清除最近打開的文檔的記錄」兩個策略啓用便可。 　　三、保護好「任務欄」和「開始」菜單的設置 　　假若您不想隨意讓他人更改「任務欄」和「開始」菜單的設置，您只要將右側窗格中的「阻止更改‘任務欄和「開始」菜單’設置」和「阻止訪問任務欄的上下文菜單」兩個策略項啓用便可。這樣，當您用鼠標右鍵單擊任務欄並單擊「屬性」時，系統會出現一個錯誤消息，提示信息是某個設置禁止了這個操做。 　　四、禁止「註銷」和關機 　　當計算機啓動之後，假若您不但願這個用戶再進行關機和註銷操做，那麼必須將右側窗格中的「刪除「開始」菜單上的‘註銷’」和「刪除和阻止訪問‘關機’命令」兩個策略啓用。 　　提示：假若您在「開始」菜單上刪除了「註銷」，「註銷用戶名>」項目就不會出如今「開始」菜單。這個設置還從「‘開始’菜單選項」刪除「顯示註銷」項目。結果是，您沒法將「註銷用戶名>」項目還原到「開始」菜單。         3、桌面相關選項的刪除和禁用          Windows XP的桌面就像你的辦公桌同樣，有時須要進行整理和清潔，有了組策略編輯器，這項工做將變得易如反掌，您只要在「‘本地計算機’策略」中，逐級展開「用戶配置」→「管理模板」→「桌面」分支，便可在右側窗格中顯示相應的策略選項。 　　一、隱藏桌面的系統圖標 　　假若隱藏桌面上的系統圖標，傳統的方法是經過採用修改註冊表的方式來實現，這勢必形成必定的風險性，採用組策略編輯器，便可方便快捷地達到此目的。 　　 若要隱藏桌面上的「網上鄰居」和「Internet Explorer」圖標，只要在右側窗格中將「隱藏桌面上‘網上鄰居’圖標」和「隱藏桌面上的Internet Explorer圖標」兩個策略選項啓用便可；若是隱藏桌面上的全部圖標，只要將「隱藏和禁用桌面上的全部項目」啓用便可；當啓用了「刪除桌面上的‘個人文檔’圖標」和「刪除桌面上的‘個人電腦’圖標」兩個選項之後，「個人電腦」和「個人文檔」圖標將從你的電腦桌面上消失了；若是在桌面上你再也不喜歡「回收站」這個圖標，那麼也能夠把它給刪除，具體方法是將「從桌面刪除回收站」策略項啓用。 　　二、禁止對桌面的某些更改 　　若是您不但願別人隨意改變計算機桌面的設置，請在右側窗格中將「退出時不保存設置」這個策略選項啓用。當您啓用這個了設置之後，其餘用戶能夠對桌面作某些更改，但有些更改，諸如圖標和打開窗口的位置、任務欄的位置及大小在用戶註銷後都沒法保存。         4、禁止訪問「控制面板」         若是您不但願其餘用戶訪問計算機的「控制面板」，您只要運行組策略編輯器（gpedit.msc），在左側窗格中逐極展開「‘本地計算機’策略」→「用戶配置」→「管理模板」→「控制面板」分支，而後將右側窗格的「禁止訪問控制面板」策略啓用便可。 　　此項設置能夠防止「控制面板」程序文件（Control.exe）的啓動。其結果是，他人將沒法啓動「控制面板」（或運行任何「控制面板」項目）。另外，這個設置將從「開始」菜單中刪除「控制面板」。同時這個設置還從 Windows 資源管理器中刪除「控制面板」文件夾。 　　 　　特別提示：若是您想從上下文菜單的屬性項目中選擇一個「控制面板」項目，會出現一個消息，說明該設置防止這個操做。 　　5、防止用戶使用「添加或刪除程序」 　　在「控制面板」中，「添加或刪除程序」項目容許您安裝、卸載、修復並添加和刪除 Windows XP 的功能和組件以及種類很廣的 Windows 程序。發行或分配給用戶的程序將出如今「添加或刪除程序」中。假若您阻止其餘用戶安裝和卸載程序，請在「‘本地計算機’策略」→「用戶配置」→「管理模板」→「控制面板」分支的右側窗格中啓用「刪除‘添加/刪除程序’程序」策略選項。 　　啓用這個設置將從「控制面板」刪除「添加或刪除程序」並從菜單刪除「添加或刪除程序」項目；這個設置不防止用戶用其餘工具和方法安裝或卸載程序。         6、在Windows Xp中設置用戶權限         當多人共用一臺計算機時，在Windows XP中設置用戶權限，能夠按照如下步驟進行： 　　一、運行組策略編輯器程序（gpedit.msc）。 　　二、在編輯器窗口的左側窗格中逐級展開「計算機配置」→「Windows設置」→「安全設置」→「本地策略」→「用戶權限指派」分支。 　　三、雙擊須要改變的用戶權限。單擊「增長」，而後雙擊想指派給權限的用戶賬號。 連續兩次單擊「肯定」按扭。