24、Windows Server GPO配置与软件部署全解析

Windows Server GPO配置与软件部署全解析

1. 锁定用户环境

在管理用户环境时，我们可以通过一系列设置来锁定用户环境，防止用户绕过策略设置。具体操作如下：
- 利用计算机配置和用户配置中的系统节点设置，禁用注册表编辑，防止精明的用户通过在注册表中禁用策略来绕过设置。
- 禁用命令提示符，避免用户从该位置执行程序。

通过配置这些设置，能够有效地锁定用户环境，满足特定场景的需求。

2. 受限组设置

受限组节点位于计算机配置\策略\Windows设置\安全设置下，可用于指定哪些用户或组可以成为某个组的成员，以及每个组可以属于哪些组。例如，可指定所有受组策略对象（GPO）影响的成员服务器和客户端计算机上的本地管理员组的成员，防止本地用户自行将自己设为管理员。

设置受限组的步骤如下：
1. 导航到计算机配置\策略\Windows设置\安全设置节点。
2. 右键单击受限组，选择“添加组”。
3. 指定要限制的组，然后点击“确定”。
4. 在弹出的对话框中，点击“此组的成员”下的“添加”，指定要添加的成员，多个条目用分号分隔。
5. 若要指定受限组可以属于的组，点击“此组属于”下的“添加”，并输入所需组的名称。
6. 点击“确定”后，受限组名称及其成员将显示在组策略管理编辑器的详细信息窗格中。

受限组策略每5分钟在域控制器上刷新一次，每90分钟在成员服务器和客户端计算机上刷新一次。如果为受限组指定了其他成员，策略应用时这些成员将被移除。

3. 启动GPO

Windows Server 2008