WindowsVista組策略詳解
繼上文WindowsVista如何部署組策略？之后，本文繼續(xù)介紹WindowsVista組策略的相關(guān)知識。
組策略常見方案（可能為英文網(wǎng)頁）
此程序包包含一系列組策略對象(GPO)，其中列舉了一些常見的桌面方案。它們包括輕托管、移動和kiosk方案及其他方案。
GPMC腳本
GPMC包括一組用于自動執(zhí)行許多常見的GPO管理任務的編寫腳本界面。使用這些編寫腳本界面，可以管理組策略環(huán)境，其中包括生成GPO設(shè)置報告、創(chuàng)建和復制GPO以及查找未鏈接的GPO。WindowsVista未包含任何腳本。有關(guān)GPMC腳本的詳細信息，請參閱http://go.microsoft.com/fwlink/?linkid=31191（可能為英文網(wǎng)頁）
多語言問題
在WindowsVista中，管理模板設(shè)置分為可供所有組策略管理員使用的中性語言（.admx文件）和特定語言資源（.adml文件）。這些文件允許使用組策略工具根據(jù)管理員配置的語言調(diào)整他們的UI。將新語言添加到一組策略定義可以通過提供可用的特定語言資源文件來完成。
例如，組策略管理員可以從配置為英語的WindowsVista管理工作站創(chuàng)建組策略對象(GPO)。該管理員保存該GPO并將其鏈接到跨地理邊界部署的域。巴黎的同事使用GPMC瀏覽同一域并選擇使用英語創(chuàng)建的GPO。她可以用法語查看并編輯策略設(shè)置。創(chuàng)建此GPO的原始組策略管理員仍可以其本地語言英語查看所有設(shè)置，包括法語管理員進行的更改。
在遷移或升級到WindowsVista后的組策略更改
在遷移或升級到WindowsVista之后，將會重新應用組策略，就好像全新安裝的一樣。對于Windows域中的客戶端，應用組策略就好像計算機剛加入域或者用戶首次登錄一樣。在域中首次應用組策略時，每個擴展要么遷移其策略設(shè)置要么應用這些策略設(shè)置。在升級之后，組策略引擎將像全新安裝那樣處理策略設(shè)置，重新生成所有RSoP數(shù)據(jù)，并設(shè)置其緩存的所有值。下表提供了特定于每個組件的升級或遷移的詳細信息。
組策略引擎不遷移。RSoP
在升級之后，不需要遷移RSoP數(shù)據(jù)，這是因為在首次重新啟動過程中將重新應用所有策略設(shè)置。
本地GPO
遷移本地GPO。
遷移組MLGPO。
遷移用戶MLGPO。
注意當升級WindowsVista的不同SKU時，將遷移MLGPO數(shù)據(jù)。
遷移本地GPO。
遷移組MLGPO。
客戶端擴展
客戶端擴展保留注冊表中的注冊數(shù)據(jù)。擴展注冊表項位于
HKLM\Software\
Microsoft\WindowsNT\
CurrentVersion\Winlogon\
GPExtensions
注意每個客戶端擴展將升級自己的信息。
ADM模板
以前提供的ADM文件被替換為ADMX文件。
在升級過程中保留自定義ADM文件。
遷移Software\Policy注冊表項下的所有策略設(shè)置和值。
不遷移首選項設(shè)置。
在首次登錄后的第一次重新啟動時重新應用域中的所有策略設(shè)置。
自動遷移通過組策略安裝的所有應用程序。
自動遷移%windir%\system32\appmgmt下的所有文件。
遷移注冊表下的以下所有項和值：
HKLM|HKCUSoftware\Microsoft\Windows\CurrentVersion\GroupPolicy\Appmgmt
HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Diagnostics下的值“appmgmtdebuglevel”
GPMC和GPEdit
刪除GPMC的以前版本。
在升級后保留腳本文件夾，包括使用GPMC的以前版本安裝的任何GPMC腳本。
將遷移以下GPMC配置數(shù)據(jù)：
當前直接存儲在控制臺文件(msc)中的信息（如上次連接的域或林）
工具中的注冊表項和首選項（備份文件夾位置、ADM文件選項等）
對于GPEdit，將遷移任何首先項，如默認GPO名稱。
不遷移。
注意
有關(guān)在遷移過程中移動的注冊表項列表，請參見附錄B。
驗證組策略設(shè)置-策略的結(jié)果集(RSoP)
所有組策略處理信息都被收集并存儲在本地計算機上的通用信息模型對象管理(CIMOM)數(shù)據(jù)庫中。然后，可以通過使用WindowsManagementInstrumentation的工具訪問此信息，如列表、內(nèi)容和每個GPO的處理詳細記錄。
在記錄模式（組策略結(jié)果）中，策略的結(jié)果集(RSoP)將在目標計算機上查詢CIMOM數(shù)據(jù)庫，接收有關(guān)策略的信息，并將其顯示在GPMC中。在計劃模式（組策略建模）中，RSoP使用組策略目錄訪問服務(GPDAS)在域控制器上模擬策略的應用。GPDAS模擬GPO的應用，并將它們傳遞到域控制器上的虛擬客戶端擴展。在將信息傳回并顯示在GPMC中之前，此模擬的結(jié)果將存儲在域控制器上的本地CIMOM數(shù)據(jù)庫中。
使用GPMC的RSoP
在ActiveDirectory環(huán)境中，管理員使用GPMC來管理組策略。GPMC在網(wǎng)絡(luò)上為管理員提供了組策略環(huán)境的持久性視圖，包括所選林中的GPO、GPO鏈接、站點、域和組織單位(OU)。使用GPMC，管理員可以執(zhí)行以前只能通過ActiveDirectory管理工具的“組策略”選項卡執(zhí)行的任何管理任務。
還可以使用GPMC生成預測網(wǎng)絡(luò)上GPO累計效果或報告特定用戶或計算機上GPO累計效果的RSoP數(shù)據(jù)。此外，管理員還可以使用GPMC執(zhí)行以前從來不可能執(zhí)行的GPO操作，如備份和還原GPO，復制GPO，甚至將GPO遷移到其他林。還可以使用WMI腳本讀取或生成GPO設(shè)置的HTML或XML報告。
在使用GPMC時存在某些限制，這是因為它無法在RSoP中檢索多個本地組策略對象(MLGPO)，并且GPMC報告不顯示帶高級安全設(shè)置的Windows防火墻。
驗證當前生效的實際策略設(shè)置
策略的結(jié)果集(RSoP)管理單元是一個Microsoft管理控制臺(MMC)工具。管理員使用RSoP管理單元可以報告和計劃組策略對象的累計效果。盡管可以使用RSoP管理單元報告和計劃組策略的效果，但其許多功能已包含在組策略管理控制臺(GPMC)中，這為網(wǎng)絡(luò)管理員提供了更好的體驗。RSoP管理單元有一些限制，因為它不報告所有設(shè)置（例如，不報告許多新的WindowsVista設(shè)置），并且不能在RSoP中檢索遠程計算機。盡管可以繼續(xù)使用RSoP管理單元在WindowsVista中收集第三方組策略擴展的RSoP數(shù)據(jù)，但不建議使用該管理單元。
在確定策略是否應用于用戶或計算機時，建議使用GPMC報告這一工具。但是，GPMC不能與MLGPO一起使用。盡管無法將GPMC報告用于MLGPO，但可以在組策略操作日志中查看此信息。
WindowsVista設(shè)置的使用用戶帳戶控制(UAC)的主要目的是減少操作系統(tǒng)的暴露和攻擊面。UAC通過要求所有用戶在標準用戶模式下運行來實現(xiàn)這一點。該限制可以將用戶的更改權(quán)限降至最低，從而避免了由于用戶所做更改而造成計算機穩(wěn)定性下降，還避免了無意中使網(wǎng)絡(luò)受到已感染到計算機但尚未被檢測出的惡意軟件所傳播的病毒的侵害。
通過UAC，您可以使用有限權(quán)限運行大多數(shù)應用程序、組件和進程，但對于特定的管理任務和應用程序功能可能需要“提升權(quán)限”。Windows通過對每個用戶使用兩個訪問令牌做到這一點：有限訪問令牌和提升的訪問令牌。訪問令牌用于標識用戶、用戶組和用戶的權(quán)限。系統(tǒng)使用訪問令牌控制對安全對象的訪問，并控制用戶在本地計算機上執(zhí)行各種與系統(tǒng)相關(guān)的操作能力。
用于本地管理員的提升令牌包含并啟動所有管理權(quán)限。UAC要求本地管理員在嘗試執(zhí)行僅系統(tǒng)任務或管理任務時使用其提升令牌。用于本地管理員的有限令牌包含所有管理權(quán)限；但這些權(quán)限是被禁用的。這允許Windows查看管理用戶和常規(guī)用戶，并提供了提升他們權(quán)限的選項。
默認情況下，登錄到WindowsVista的所有用戶都使用他們的完整令牌來處理組策略和登錄腳本。但是，他們使用有限的用戶令牌加載桌面和所有后續(xù)進程。對于權(quán)限和組而言，非管理有限令牌和提升令牌大部分是相同的。因此，使用非管理有限用戶令牌啟動的進程可以查看使用非管理提升令牌啟動的進程。Windows允許此情況是因為查看應用程序不需要任何提升權(quán)限即可查看由提升令牌啟動的進程。
Windows以同樣的方式處理本地登錄的管理員。組策略和登錄腳本進程使用提升用戶令牌，桌面和所有后續(xù)進程使用有限令牌。不過，在有限用戶令牌和提升用戶令牌之間存在著權(quán)限差異。因此，Windows將限制使用有限令牌啟動的進程與使用提升令牌啟動的進程共享信息的能力。
UAC可能阻止組策略登錄腳本正確工作。例如，域環(huán)境包含一個組策略對象，該對象包含映射網(wǎng)絡(luò)驅(qū)動器的登錄腳本。非管理用戶從WindowsVista計算機登錄到域。在WindowsVista加載桌面之后，非管理用戶啟動Windows資源管理器。此用戶將看到映射的驅(qū)動器。在同一環(huán)境中，管理用戶從WindowsVista計算機登錄到域。在WindowsVista加載桌面之后，管理用戶啟動Windows資源管理器。此用戶將看不到映射的驅(qū)動器。
當管理用戶登錄時，Windows將使用提升令牌處理登錄腳本。該腳本實際運行并映射驅(qū)動器。不過，Windows將阻止映射的網(wǎng)絡(luò)驅(qū)動器的視圖，因為在使用提升令牌映射驅(qū)動器時桌面使用的是有限令牌。
為解決此問題，管理用戶應在有限用戶令牌下映射網(wǎng)絡(luò)驅(qū)動器。此映射通過使用附錄A中所示的launchapp.wsf腳本完成，它是通過使用任務計劃程序計劃命令進行的。任務計劃程序在完整管理令牌下啟動腳本，從而允許Windows資源管理器、其他有限令牌進程和提升令牌進程查看映射的網(wǎng)絡(luò)驅(qū)動器。
配置launchapp.wsf推遲執(zhí)行登錄腳本的步驟
1.將登錄腳本和launchapp.wsf腳本復制到網(wǎng)絡(luò)共享位置。
2.啟動組策略管理控制臺(GPMC)。在GPMC中，右鍵單擊要修改的GPO，然后單擊“編輯”。
3.在“用戶配置”節(jié)點中，展開“Windows設(shè)置”，然后單擊“腳本”。
4.右鍵單擊“登錄”，然后單擊“屬性”。
5.在“登錄屬性”對話框中，單擊“添加”。
6.在“腳本名稱”框中，鍵入launchapp.wsf
7.在“腳本參數(shù)”框中，鍵入logon.bat的完整路徑和名稱。
在WindowsVista中，組策略從Winlogon進程中移出，并作為單獨的服務運行。組策略客戶端負責應用由管理員通過組策略組件為計算機和用戶配置的設(shè)置。在服務管理單元中，啟動、停止、暫停和恢復組策略客戶端的選項不可用。這是因為，如果客戶端服務停止或被禁用，將無法應用設(shè)置，并且無法通過組策略管理應用程序和組件。如果客戶端服務停止或被禁用，則依賴于組策略組件的任何組件或應用程序?qū)o法正常工作。
需要重新啟動或登錄的策略設(shè)置
本部分中基于注冊表的組策略設(shè)置在啟用時需要重新啟動或登錄。本部分中帶項目符號的條目包含組策略設(shè)置的名稱，后跟其功能。
登錄
不允許使用窗口動畫：此策略設(shè)置控制窗口動畫的顯示，如還原、最小化和最大化窗口時的動畫。
不允許桌面組合：此策略設(shè)置控制某些圖形的呈現(xiàn)方式，并有助于其他功能，包括Flip、Flip3D和任務欄縮略圖。
不允許調(diào)用Flip3D：此策略設(shè)置禁用3D窗口轉(zhuǎn)換程序。
指定默認顏色：此策略設(shè)置控制用戶不指定顏色時窗口框架的默認顏色。
不允許更改顏色：此策略設(shè)置控制更改窗口框架顏色的能力。
詳細與正常狀態(tài)消息：此策略設(shè)置指示系統(tǒng)顯示非常詳細的狀態(tài)消息。
設(shè)置要在登錄時間過期時執(zhí)行的操作：此策略設(shè)置控制登錄用戶的登錄時間到期時要采取哪種操作。
設(shè)置要在登錄時間過期時執(zhí)行的操作：此策略設(shè)置控制登錄用戶的登錄時間到期時要采取哪種操作。此操作包括鎖定工作站、斷開用戶連接或完全注銷用戶。
在用戶登錄期間報告登錄服務器何時不可用：此策略控制如果在登錄期間無法聯(lián)系登錄服務器，并且用戶已經(jīng)使用以前存儲的帳戶信息登錄時是否應通知登錄的用戶。
自定義用戶界面：此策略設(shè)置指定備用用戶界面。
關(guān)閉TabletPC觸摸屏輸入：此策略設(shè)置關(guān)閉觸摸屏輸入，允許用戶使用手指與計算機交互。
關(guān)閉WindowsDefender：此策略設(shè)置關(guān)閉WindowsDefender實時保護，即不再計劃掃描。
關(guān)閉舊版的遠程關(guān)機界面：此策略設(shè)置控制舊版的遠程關(guān)機界面（命名管道）。需要管道遠程功能才能從遠程WindowsServer2003或WindowsXP系統(tǒng)關(guān)閉此系統(tǒng)。
WindowsVista在組合使用漫游用戶配置文件和文件夾重定向時可以提供許多優(yōu)勢。將用戶數(shù)據(jù)重定向到中心網(wǎng)絡(luò)位置可以減少用戶配置文件的大小，使用戶數(shù)據(jù)隨時可用，并通過傳輸較少的數(shù)據(jù)提高用戶登錄和注銷性能。結(jié)合使用文件夾重定向和漫游用戶配置文件可讓用戶在WindowsVista和WindowsXP計算機之間共享漫游數(shù)據(jù)。
運行WindowsVista的計算機無法讀取從WindowsXP創(chuàng)建的漫游用戶配置文件。這對于具有漫游用戶配置文件但必須從WindowsVista和WindowsXP計算機漫游的用戶而言是一個問題。WindowsVista文件夾重定向解決了此問題。
使用文件夾重定向可以重定向隨WindowsVista用戶配置文件一起提供的所有常見文件夾。使用此功能可以將WindowsXP用戶配置文件中的文件夾與WindowsVista配置文件中的文件夾共享。例如，可以在WindowsVista和WindowsXP之間共享收藏夾。可以將WindowsVista中的收藏夾重定向到WindowsXP同步漫游用戶配置文件中的收藏夾的同一位置。
使用以下白皮書中的方案3創(chuàng)建一個或多個文件夾重定向策略，以允許用戶與WindowsVista和WindowsXP共享漫游用戶數(shù)據(jù)。白皮書中的共享路徑是用戶的漫游用戶文件夾的共享路徑。
有關(guān)其他信息，請訪問http://go.microsoft.com/fwlink/?LinkId=73435（可能為英文網(wǎng)頁）。
網(wǎng)絡(luò)訪問保護和網(wǎng)絡(luò)位置感知
網(wǎng)絡(luò)訪問保護(NAP)是WindowsVista、WindowsServer2008（現(xiàn)在處于試用版測試階段）和WindowsXP的一個策略增強平臺，它通過強制符合系統(tǒng)健康要求（例如，確保客戶端具有最新的操作系統(tǒng)并安裝了防病毒更新）更好地保護網(wǎng)絡(luò)資產(chǎn)。使用NAP可以創(chuàng)建自定義健康策略，以便在允許訪問或通信之前驗證計算機健康情況，自動更新符合要求的計算機可以確保能夠繼續(xù)符合要求，并有選擇地將不符合要求的計算機限制到一個有限網(wǎng)絡(luò)，直到它們成為符合要求的計算機。
當客戶端計算機嘗試訪問網(wǎng)絡(luò)時，它必須提供其系統(tǒng)健康狀態(tài)。如果客戶端計算機無法證明其符合系統(tǒng)健康策略，則它對網(wǎng)絡(luò)的訪問將被限制到一個包含服務器資源的有限網(wǎng)段，以便能夠補救遵從性問題。在安裝更新之后，客戶端計算機將再次請求訪問網(wǎng)絡(luò)。如果符合要求，客戶端計算機將被授予無限制訪問。
請記住，NAP不是一個安全解決方案。它旨在防止具有不安全配置的計算機連接到網(wǎng)絡(luò)，而不是保護網(wǎng)絡(luò)不受具有有效憑據(jù)集的惡意用戶和滿足當前健康要求的計算機的攻擊。
在客戶端計算機一端，網(wǎng)絡(luò)位置感知(NLA)功能可以確保系統(tǒng)在建立到域控制器的連接時接收通知，并且組策略服務決定是否對該事件應用策略設(shè)置。不過，NLA無法識別從隔離環(huán)境（也就是NAP環(huán)境）到公司環(huán)境的轉(zhuǎn)換；因此，當計算機從隔離區(qū)出來時，NLA將不向組策略提供網(wǎng)絡(luò)通知。
由于在隔離之后NLA不提供有關(guān)成功網(wǎng)絡(luò)連接的通知，因此可以提供以下解決辦法。NAP組件在日志文件中記錄一個事件。管理員需要編寫一個檢測此事件的腳本，該腳本調(diào)用gpupdate以確保組策略在成功進行VPN連接時刷新。
通過利用NLA，WindowsVista可以更快地響應網(wǎng)絡(luò)更改，在組策略刷新之前不再有長達90分鐘的延遲。如果跳過以前的策略設(shè)置應用程序周期（或者失敗），則組策略將在到域控制器的網(wǎng)絡(luò)連接可用時進行重試。這是對以前版本的組策略的重要改進，因為消除了組策略對ICMP的依賴性。
使用組策略管理WindowsVista功能
WindowsVista有許多可以通過組策略管理的新功能，其中包括電源管理、設(shè)備安裝和使用以及安全設(shè)置。下面是幫助您配置這些功能的循序漸進指南列表。
WindowsVista打印管理循序漸進指南（可能為英文網(wǎng)頁）
通過組策略控制設(shè)備安裝和使用的循序漸進指南（可能為英文網(wǎng)頁）
管理組策略ADMX文件循序漸進指南（可能為英文網(wǎng)頁）
以下鏈接中引用的電子表格列出了隨WindowsVistaRC1交付的管理模板文件(admx/adml)中包括的計算機策略設(shè)置和用戶配置。此電子表格中包括的策略設(shè)置涵蓋WindowsVistaRC1、MicrosoftWindowsServer2003、WindowsXPProfessional和Windows2000。這些文件用于在使用組策略對象編輯器（也稱為GPEdit）編輯組策略對象(GPO)時公開策略設(shè)置。
http://go.microsoft.com/fwlink/?linkid=54020（可能為英文網(wǎng)頁）
解決組策略問題
若要解決組策略問題，您需要了解組策略及其支持技術(shù)（如Microsoft?ActiveDirectory?目錄服務和文件復制服務[FRS]）之間的交互，以及管理、部署和應用組策略對象本身的方式。了解這些內(nèi)容之后，即可以使用特定的工具幫助您找到確定并解決問題的辦法。
WindowsVista中的組策略基礎(chǔ)結(jié)構(gòu)發(fā)生了很大改變。組策略處理不再存在于Winlogon進程中，而是作為自己的服務承載。此外，組策略引擎不再依賴于userenv.dll中的跟蹤日志記錄。因此，不再有userenv日志文件。
較早版本的Windows中的許多組策略疑難解答都依賴于在組件userenv.dll內(nèi)部啟用的日志記錄。這在%WINDIR%\Debug\Usermode文件夾中創(chuàng)建了名為userenv.log的日志文件。此日志文件包含支持數(shù)據(jù)的功能跟蹤說明。此外，配置文件加載和卸載功能共享此日志文件，使日志有時難以診斷。此日志文件與策略的結(jié)果集Microsoft管理控制臺(RSoPMMC)結(jié)合使用，是診斷和解決組策略問題的主要方式。
在WindowsVista中，組策略被視為其自己的具有新組策略服務的組件，該服務是一個在Svchost進程下運行的獨立服務，用于讀取和應用組策略。新服務包括事件報告的更改。以前顯示在應用程序日志中的組策略事件消息現(xiàn)在顯示在系統(tǒng)日志中。事件查看器列出了這些具有Microsoft-Windows-GroupPolicy事件源的新消息。組策略操作日志將取代以前的userenv日志記錄。操作事件日志提供特定于組策略處理的改進的事件消息。
本文對于windowsvista組策略的相關(guān)介紹希望能夠?qū)ψx者有所幫助，更多有關(guān)組策略的知識還有待于讀者去探索和學習。
【編輯推薦】
