在Windows 2000域中介紹Win XP組策略
在Windows 2000域中是如何分析Win XP組策略的呢？下文給出了詳細(xì)的描述。
組策略是在Windows 2000/XP域中用于控制用戶和計(jì)算機(jī)桌面環(huán)境的基于活動(dòng)目錄的機(jī)制，針對(duì)安全、軟件安裝記憶腳本的設(shè)置都可以通過組策略進(jìn)行。組策略可以根據(jù)對(duì)象在活動(dòng)目錄中的位置而應(yīng)用于用戶組或者計(jì)算機(jī)。
組策略的設(shè)置存儲(chǔ)在域控制器的GPO（Group Policy objects，組策略對(duì)象）中，GPO連接到活動(dòng)目錄結(jié)構(gòu)的各種容器（站點(diǎn)、域以及OU）中。因?yàn)榻M策略與活動(dòng)目錄的集成非常緊密，因此在實(shí)施組策略前對(duì)活動(dòng)目錄結(jié)構(gòu)與安全有一個(gè)基本認(rèn)識(shí)是很有必要的。
組策略是保證Windows XP安全的基本工具，它可以被用來應(yīng)用和維持網(wǎng)絡(luò)中所有計(jì)算機(jī)的策略配置的一致性。
概述
Windows XP組策略中引進(jìn)了以前沒有包括在Windows 2000中的新特性，然而Windows 2000域控制器同樣可以通過活動(dòng)目錄給Windows XP客戶端發(fā)布組策略設(shè)置。
為了使用Windows XP中所有新特性，GPO必須在運(yùn)行Windows XP的計(jì)算機(jī)上編輯。管理員還可以在Windows 2000域控制器上進(jìn)行后期的GPO管理（把GPO鏈接到域或者OU）。如果GPO被應(yīng)用到同時(shí)包含Windows XP和Windows 2000客戶端的域，Windows 2000將會(huì)忽略僅針對(duì)Windows XP的新設(shè)置，而僅應(yīng)用可以被Windows 2000應(yīng)用的設(shè)置，Windows XP計(jì)算機(jī)則會(huì)應(yīng)用所有的設(shè)置。在將GPO應(yīng)用到Windows 2000域之前請(qǐng)參閱Guide to Securing Microsoft Windows 2000 Group Policy。同時(shí)，還可以參閱“Upgrading Windows 2000 Group Policy for Windows XP”：http：//support.microsoft.com/support/kb/articles/Q307/9/00.asp
安全設(shè)置擴(kuò)展
從一篇安全報(bào)告可以知道，安全設(shè)置擴(kuò)展是組策略中最重要的部分之一。很多與安全相關(guān)的設(shè)置都是在安全設(shè)置中進(jìn)行的，安全設(shè)置允許管理員鞏固很多與安全相關(guān)的對(duì)象，并通過組策略和活動(dòng)目錄把它們應(yīng)用到任意一臺(tái)運(yùn)行著Windows XP的計(jì)算機(jī)。
安全設(shè)置擴(kuò)展位于GPO的計(jì)算機(jī)配置\Windows設(shè)置\安全設(shè)置的路徑下，并可以通過MMC的組策略組件訪問。安全設(shè)置是針對(duì)計(jì)算機(jī)的，而不是專門針對(duì)某個(gè)用戶，同時(shí)也包括了安全模板中所有的安全區(qū)域（例如賬戶策略、本地策略等），除此之外還有活動(dòng)目錄的公鑰策略以及IP安全策略。
創(chuàng)建 Windows XP GPO
Windows XP GPO必須在運(yùn)行Windows XP的機(jī)器上編輯，要打開或創(chuàng)建一個(gè)GPO，可以在一個(gè)已經(jīng)加入了域的運(yùn)行Windows XP的計(jì)算機(jī)上進(jìn)行如下操作：
運(yùn)行微軟管理控制臺(tái)（mmc.exe）
選擇控制臺(tái)- 添加/刪除組件
點(diǎn)擊添加
選擇組策略
點(diǎn)擊添加
出現(xiàn)一個(gè)選擇組策略對(duì)象窗口，在組策略對(duì)象選項(xiàng)下，默認(rèn)會(huì)顯示本地計(jì)算機(jī)，要編輯GPO，點(diǎn)擊瀏覽按鈕在域中，定為到要應(yīng)用GPO的容器，容器顯示后，選擇一個(gè)已經(jīng)存在的GPO或者點(diǎn)擊窗口頂端的第二個(gè)按鈕新建一個(gè)GPO，然后選中這個(gè)GPO
點(diǎn)擊確定
點(diǎn)擊關(guān)閉
點(diǎn)擊確定
導(dǎo)入安全模板到GPO中
要把已存在的安全模板導(dǎo)入到Windows XP GPO，可進(jìn)行如下操作：
在組策略組件中，定位到計(jì)算機(jī)配置\Windows設(shè)置\安全設(shè)置
在導(dǎo)入模板前展開安全設(shè)置節(jié)點(diǎn)，圖12顯示了展開后的安全設(shè)置擴(kuò)展
圖 12
警告：根據(jù)MMC中的一個(gè)Bug，在導(dǎo)入模板前展開安全設(shè)置節(jié)點(diǎn)時(shí)發(fā)生的錯(cuò)誤有可能導(dǎo)致模板載入的錯(cuò)誤。
右鍵點(diǎn)擊安全設(shè)置
從彈出菜單選擇導(dǎo)入策略
導(dǎo)入策略自窗口中將會(huì)顯示%SystemRoot%\security\templates文件夾中的所有模板，從這個(gè)文件夾中選擇一個(gè)模板或者通過瀏覽功能查找其它合適的模板。
點(diǎn)擊打開
被選中的模板中的設(shè)置已經(jīng)被導(dǎo)入到了安全選項(xiàng)節(jié)點(diǎn)，現(xiàn)在你可以通過安全設(shè)置樹查看和修改這些設(shè)置。
警告：為了讓一個(gè)新的GPO能夠被正確應(yīng)用，你必須首先注冊(cè)這一改變，簡(jiǎn)單地把模板導(dǎo)入到新的GPO并不能起到這個(gè)作用，哪怕關(guān)閉組策略組件中的GPO然后稍等片刻重新打開它的時(shí)候系統(tǒng)會(huì)報(bào)告說導(dǎo)入的安全設(shè)置已經(jīng)被保存。組策略被刷新后GPO將會(huì)被清空而不是被應(yīng)用。要注冊(cè)一個(gè)改變，在載入安全模板后編輯GPO中的任意一個(gè)設(shè)置，哪怕你隨便更改一個(gè)設(shè)置后重新又把設(shè)置該回來。
在Windows 2000 域控制器上管理Windows XP GPO
在早期的規(guī)定中，一旦Windows XP GPO在運(yùn)行Windows XP的計(jì)算機(jī)上被編輯過后，后期的GPO管理（例如鏈接GPO到域或者OU）就可以在Windows 2000域控制器上進(jìn)行了。
當(dāng)使用Windows 2000域控制器查看Windows XP GPO時(shí)，如果Windows XP獨(dú)有的用戶或用戶組（例如LOCAL SERVICE、NETWORK SERVICE）顯示在一個(gè)文件或者注冊(cè)表的權(quán)限設(shè)置中時(shí)，當(dāng)定位到計(jì)算機(jī)配置\Windows設(shè)置\安全設(shè)置節(jié)點(diǎn)就可能引起“Windows無法打開模板文件”的錯(cuò)誤信息。不過就算這些安全設(shè)置無法在Windows 2000下查看，GPO仍然可以被正確應(yīng)用。
本地組策略對(duì)象
每臺(tái)計(jì)算機(jī)無論是不是域成員都有本地組策略，本地組策略是***個(gè)被應(yīng)用的策略。雖然任何后期的組策略都可能覆蓋本地策略的設(shè)置，不過只要是在本地組策略中設(shè)定并沒有在其他策略中設(shè)定的策略都將被保留。因此本地策略和活動(dòng)目錄組策略的配置一致是很重要的。
本地組策略對(duì)象（Local GPO）被保存在 %SystemRoot%\System32\Group Policy，可以通過組策略組件中的選擇遠(yuǎn)程計(jì)算機(jī)或者在管理工具菜單下選擇本地安全策略來訪問和查看。
LGPO并不是包括了活動(dòng)目錄組策略的全部設(shè)置，舉例來說，在安全設(shè)置節(jié)點(diǎn)下，只有賬戶策略和本地策略可用，因此如果一個(gè)安全模板被導(dǎo)入本地策略，實(shí)際上就只有在本地策略中可用的部分被真正導(dǎo)入了。其他的設(shè)置，例如注冊(cè)表和文件權(quán)限可以通過安全配置和分析組件應(yīng)用到本地。
強(qiáng)制組策略更新
組策略會(huì)通過活動(dòng)目錄周期性的被更新，默認(rèn)的設(shè)置會(huì)每90分鐘更新一次工作站的組策略設(shè)置。
要強(qiáng)制組策略立刻在本機(jī)更新可以使用命令行工具gpupdate.exe。輸入gpupdate /?將會(huì)看到該命令所有可用的參數(shù)。例如，要強(qiáng)制立刻刷新計(jì)算機(jī)配置這部分的組策略設(shè)置，可以使用：
Gpupdate /target:computer /force
查看策略結(jié)果集
根據(jù)對(duì)象所在的容器不同，多個(gè)GPO可以同時(shí)應(yīng)用到域?qū)ο蟆Ｅe例來說，一個(gè)域級(jí)別的GPO設(shè)置可以被應(yīng)用到域中的所有計(jì)算機(jī)上，針對(duì)不同OU的GPO也可以分別被應(yīng)用到那個(gè)OU的相應(yīng)對(duì)象。人工判斷哪個(gè)GPO被應(yīng)用以及它們以什么樣的順序被應(yīng)用是一個(gè)繁瑣的工作，尤其是在一個(gè)復(fù)雜的域環(huán)境中，這使得組策略問題的錯(cuò)誤排查顯得異常困難。好在Windows XP提供了兩個(gè)工具RsoP（Resultant Set of Policy，策略結(jié)果集）和gpresult.exe，可以用來查看一個(gè)對(duì)象上GPO的應(yīng)用情況。
RsoP組件
RSoP.msc是一個(gè)用來顯示本地計(jì)算機(jī)上策略應(yīng)用情況的MMC組件，要打開這個(gè)組件，可以直接在命令行窗口輸入RSoP.msc或者添加策略結(jié)果集到MMC中。圖13顯示了策略結(jié)果集組件。
圖 13
對(duì)每個(gè)組策略設(shè)置，RsoP都會(huì)顯示計(jì)算機(jī)設(shè)置（當(dāng)前計(jì)算機(jī)的設(shè)置情況）以及GPO來源（哪個(gè)GPO最終產(chǎn)生了當(dāng)前的設(shè)置）。
Gpresult.exe
Gpresult.exe是一個(gè)命令行工具，可以用來查看計(jì)算機(jī)上***一次被應(yīng)用的組策略的詳細(xì)狀態(tài)：應(yīng)用了哪些GPO以及應(yīng)用的先后順序，以及因?yàn)槭裁丛蚰男〨PO沒有被應(yīng)用。同時(shí)Gpresult還可以搜集網(wǎng)絡(luò)中其它計(jì)算機(jī)的相關(guān)信息。
要查看gpresult所有可用的參數(shù)，可以在命令行下輸入
gpresult /?
已知問題
本段會(huì)就加入Windows 2000域的Windows XP計(jì)算機(jī)可能會(huì)遇到的問題作出說明。
RestrictAnonymous 設(shè)置以及“用戶必須在下次登錄時(shí)修改密碼”
默認(rèn)情況下Windows XP不會(huì)給匿名用戶（空連接）指派與Everyone組相同的權(quán)限，然而在Windows NT和Windows 2000中匿名用戶則是具有這種權(quán)限的。如果Windows 2000域中用戶被設(shè)置了用戶下次登錄時(shí)必須修改密碼選項(xiàng)同時(shí)Windows 2000 域控制器上RestrictAnonymous注冊(cè)表鍵被設(shè)置為匿名用戶沒有任何權(quán)限，除非被指派（注冊(cè)表鍵值被設(shè)置為2），這種情況下Windows 2000域用戶登錄Windows XP計(jì)算機(jī)時(shí)可能會(huì)遇到一些潛在的問題。
從Windows 2000 Professional客戶端上登錄的用戶不會(huì)遇到任何登錄問題，在需要的時(shí)候也可以修改他的密碼。然we從Windows XP客戶端登錄的同一個(gè)用戶可能會(huì)在輸入新密碼后遇到“你沒有更改密碼的權(quán)限”的錯(cuò)誤信息。唯一的解決方法是在Windows 2000域控制器上把RestrictAnonymous鍵的鍵值由2改為0或者1。要注意修改Windows 2000的設(shè)置可能會(huì)在域控制器上產(chǎn)生很多公開的狀態(tài)信息，這些狀態(tài)信息都能被黑客利用，哪怕是注冊(cè)表鍵被設(shè)置為1這種小事。有很多工具軟件可以收集這些信息，甚至枚舉所有的用戶帳戶信息。這里面的安全風(fēng)險(xiǎn)必須高度注意。
在Windows 2000域中介紹完Win XP組策略后，相信大家對(duì)Win XP組策略有了一個(gè)大致的了解了，而更多有關(guān)組策略的知識(shí)有待于讀者去學(xué)習(xí)和鞏固。
【編輯推薦】
