受限制的组

受限制组策略配置

最新推荐文章于 2021-07-09 22:57:22 发布

Joe?

最新推荐文章于 2021-07-09 22:57:22 发布

阅读量379

点赞数

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/weixin_34293141/article/details/85095986

受限制的组

要在 Microsoft 管理控制台 (MMC) 的控制台树中查找该安全设置，请查看“计算机配置\Windows 设置\安全设置\受限制的组”

描述

该安全设置允许管理员为安全敏感的组（“受限制”的组）定义两个属性。

这两个属性是“成员”和“隶属于”。“成员”列表定义了哪些用户属于以及哪些用户不属于受限制的组。组可以是“隶属于”部分列出的组之外的组的成员。“隶属于”部分只确保将受限制的组添加到“隶属于”中列出的组中。不会将该组从它所属于的其他组中删除。

当强制实施“受限制的组策略”时，未在“成员”列表中的受限制组的当前成员都将被删除。“成员”列表中任何当前不是受限制组成员的用户将被添加。

可以使用“受限制的组策略”控制组成员身份。利用本策略，可以指定组的成员。任何未在本策略中指定的成员都将在配置或刷新时被删除。此外，反向成员身份配置选项还可确保每个“受限制的组”都只能是“隶属于”列中所指定的那些组的成员。

例如，可以创建“受限制的组策略”来仅允许指定的用户（如张三和李四）成为 Administrators 组的成员。当刷新策略后，仅有张三和李四保留为 Administrators 组的成员。

有两种方法可应用“受限制的组策略”：

定义安全模板中的策略，在配置本地计算机时将应用该策略。
直接在组策略对象 (GPO) 上定义设置，这意味着策略将在每次刷新时生效。 The security settings are refreshed every 90 minutes on a workstation or server and every 5 minutes on a domain controller. The settings are also refreshed every 16 hours, whether or not there are any changes.

默认：未指定。

警告

注意

在安全模板中创建受限制的组策略

1. 打开“安全模板”。

2. 在控制台树中，单击“受限制的组”。
位置

· 安全模板/ 模板路径文件夹/ 安全模板/受限制的组

3. 在控制台目录树中，右键单击“受限制的组”，然后单击“添加组”。

4. 在“组”中键入要对其使用限制策略的新建组或已有组的名称，然后单击“确定”。

5. 要在该组中添加成员，请执行以下操作之一：

· 如果创建了新组，请单击“添加成员”。

· 如果使用现有的组，请在详细信息窗格中右键单击要添加的组，接着单击“属性”，然后单击“添加成员”。

6. 在 NewGroup 的“属性”中，单击“添加成员”，然后键入要添加的成员。对于要添加的每个成员重复此步骤。

7. 要将该组添加为其他任何组的成员，请在 NewGroup 的“属性”中单击“添加组”，然后键入该组的名称并单击“确定”。对于要添加的每个组重复此步骤。

要点

如果“受限制的组”策略是为 Administrators 组定义的，则在将该模板导入到组策略对象中或应用于本地计算机后，所有未在该策略中定义的成员都会从 Administrators 组中删除。

注意

执行此任务不要求具有管理凭据。因此，作为安全性的最佳操作，请考虑以没有管理凭据的用户身份执行这个任务。
要打开“安全模板”，请先单击“开始”，再单击“运行”，然后输入 mmc，并单击“确定”。单击“文件”菜单上的“打开”，单击要打开的控制台，然后单击“打开”。然后，在控制台树中，单击“安全模板”。
受限制的组策略表明只有已添加到组的成员才属于该组。如果将安全模板用于配置本地计算机，则在配置期间，只有在“受限制的组”策略中指定的成员才会保留其成员资格。类似地，在配置时，如果成员不属于该组，则它将被添加到该组。
如果在已定义的受限制的组中没有任何用户，则当应用或导入该模板时，该组的所有当前成员都将被删除。
要将所有受限制的组项从一个模板复制到另一个模板，请在控制台树中，右键单击“受限制的组”，单击“复制”，然后在另一个模板中右键单击“受限制的组”，然后单击“粘贴”。

有关功能差异的信息

Your server might function differently based on the version and edition of the operating system that is installed, your account permissions, and your menu settings. For more information, see Viewing Help on the Web.