19、组策略：本地与域策略的综合运用

组策略：本地与域策略的综合运用

1. 本地组策略

本地组策略虽不如基于域的组策略灵活，但仍是为组织内计算机创建可部署标准集的宝贵工具，尤其适用于为客户端或服务器创建适合公司的安全配置。

1.1 安全模板

Windows 自带了一些预定义的安全设置文件，即“安全模板”，这些模板基于计算机的日常角色来配置安全策略。使用时，系统至少在引导分区需采用 NTFS 格式。以下是常见的增量安全模板：
| 模板名称 | 功能描述 |
| — | — |
| compatws.inf | 适用于需阻止用户加入 Power Users 组的工作站或服务器，可放宽普通 Users 组的权限限制，以运行非认证软件。 |
| securews.inf | 增强工作站或服务器的整体安全级别，强化操作系统中权限和限制之外的安全区域，如账户策略设置、审计控制和安全策略中重要的注册表项。Windows 域控制器适用的版本是 securedc.inf。 |
| hisecws.inf 和 hisecdc.inf | 适用于对安全要求极高的场景，但仅适用于纯 Windows 2000 及以上环境，因为要求所有网络传输都由 Windows 机器进行签名和加密。 |
| setup security.inf | 将计算机的安全设置恢复到默认的出厂配置。 |
| rootsec.inf | 为系统驱动器根目录指定更安全的权限，移除 Everyone 对系统驱动器的完全控制权限。 |
| DC security.inf | 域控制器的默认安全模板，对网络传输施加更严格的要求，并保护文件系统和注册表的更多部分。 |
| iesacls