16
2022
07
16:49:25

域控内使用策略部署和软件分发

一、问题说明

1.1、问题描述

    前面的Windows中的工作组(Work Group)、域(Domain)、域控(DC)、活动目录(AD)介绍系列已经完成了域控环境的搭建;那么最关键的就是实现管理控制。


1.2、想要实现的管控需求

以下是想要实现的一些基础管控控制需求:


① 禁止域用户修改ip地址。


② 禁止域用户自动更新。


③ 确保用户密码复杂性要求。


④ 域用户登录桌面后自动禁用本地guest来宾用户。


⑤禁用本地管理员账户。


⑥由域服务器统一分发提供软件安装列表。


二、具体操作流程

2.1、打开组策略和管理器


域控内使用策略部署和软件分发  域控内使用策略部署和软件分发



默认有2个全局策略模板(即:Default Domain Controllers Policy 、Default Domain Policy),点进对应的策略模板名称可以看到相关设置(如果需要编辑则【选中策略模板名称-->点击鼠标右键-->选中编辑】)


域控内使用策略部署和软件分发

域控内使用策略部署和软件分发

域控内使用策略部署和软件分发




 所有全局配置可以在【组策略编辑器】界面修改;其中


①【计算机配置:要客户端重启生效】;


②【用户配置:要客户端注销生效】;


③【策略配置后要刷新:在服务器端执行 gpupdate /force 命令】;


2.2、禁止域用户修改IP地址

   1、 打开【Default Domain Policy】的【策略编辑器】界面;选择【用户配置--->管理模板--->网络--->网络连接】,然后在右边的设置界面找到【禁止访问LAN连接组件的属性】后双击则弹出该内容的属性窗口中把它设置为“已启用”,然后点击【应用】,用命令“gpupdate /force”更新组策略后,用户就不能私自修改IP了;如下图所示:


域控内使用策略部署和软件分发  域控内使用策略部署和软件分发


 


 2、验证效果【使用域账号登陆客户端,然后修改IP地址】


域控内使用策略部署和软件分发


 当我们需要修改客户端的IP地址时弹窗则表示禁用修改IP地址成功

域控内使用策略部署和软件分发



 2.3、禁止域用户自动更新

   1、 打开【Default Domain Policy】的【策略编辑器】界面;选择【计算机配置--->策略--->管理模版--->windows组件--->windows更新--->配置自动更新--->已禁用】;禁用该内容后系统不会自动更新,如果需要更新则需要手动打开设置。

域控内使用策略部署和软件分发



修改了【计算机配置:要客户端重启生效】.


2、验证【禁止域用户自动更新】


域控内使用策略部署和软件分发


 2.4、指定用户密码复杂性

     打开【Default Domain Policy】的【策略编辑器】界面;选择【计算机配置--->Windows设置--->安全设置--->帐户策略--->密码策略】;禁用【密码必须符合复杂性要求】,根据需要设置密码长度最小值,如下图所示:


域控内使用策略部署和软件分发


 修改了【计算机配置:要客户端重启生效】.


2.5、使用域用户登录桌面后自动禁用本地来宾用户(Guest)

    打开【Default Domain Policy】的【策略编辑器】界面;选择【计算机配置--->Windows设置--->安全设置--->本地策略--->安全选项】;【账户:来宾账户状态】禁用,如下图所示:


域控内使用策略部署和软件分发


  修改了【计算机配置:要客户端重启生效】.


2.6、禁用本地管理员

    打开【Default Domain Policy】的【策略编辑器】界面;选择【计算机配置--->首选项--->控制面板设置--->本地用户和组】;右击本地用户和组新建本地用户,选择用户名administrator,勾选【账户已禁用】;如下图所示:


域控内使用策略部署和软件分发

域控内使用策略部署和软件分发

 


   修改了【计算机配置:要客户端重启生效】.


三、由域服务器统一分发提供软件安装列表

3.1、创建共享文件夹且放入.msi格式的软件

    在域服务器上创建一个共享文件夹(ShareSoftware),用户拥有读取权限,来存放准备发放给客户端安装的软件,如将安装文件【advinst.msi】放在该共享文件夹(ShareSoftware);


注意,这里需发放的文件要把格式封装成msi格式。可以使用一些封装工具进行exe等格式的文件封装成msi格式,比如advinst(这里只选用一个msi的文件做测试)。


域控内使用策略部署和软件分发


 3.2、配置服务器分发软件策略

    打开【Default Domain Policy】的【策略编辑器】界面;选择【用户配置--->策略--->软件设置--->软件安装】;然后再空白处点击鼠标右键,选择【新建-->数据包】

域控内使用策略部署和软件分发



 注意:数据包的地址必须是网络地址(如:192.168.146.227),如下图所示:


域控内使用策略部署和软件分发

域控内使用策略部署和软件分发

 稍等一会就行显示如下内容(然后中内容,点击鼠标右键选择【属性--->部署--->勾选(在登陆时安装此应用程序)】);


域控内使用策略部署和软件分发

域控内使用策略部署和软件分发



 3.3、提升用户权限用以安装软件

   由于新建的域用户都默认是在Domain User组里,而改组又不能安装软件;所以若想要提升权限用以安装软件,需要将用户默认增加至power users组里,具体操作如下,选中【在本地用户和组 点击鼠标右键,选择【新建--->本地组】--操作更新---新建本地组---选择组名power users---添加当前用户】(这里以【张一山】用户的域账号指定登陆后安装软件为例说明,如下图所示)



域控内使用策略部署和软件分发

 域控内使用策略部署和软件分发


域控内使用策略部署和软件分发

域控内使用策略部署和软件分发


 说明:【Power users】用户组其实就是标准用户,系统权限就是在组上增加了部分安装权限(可以安装一些不改变系统环境或者是创建系统服务的安装程序,可以修改控制面板里的大部分选项,但是一些选项是管理员级别的还是修改不了),而Users是用户组是受限用户。


注意:在创建用户的时候是不能创建高于自己级别的用户的。 


3.4、更新策略配置

【策略配置后要刷新:在服务器端执行 gpupdate /force 命令】;

域控内使用策略部署和软件分发



3.5、验证软件是否登陆安装

重启系统,使用域账号密码登陆系统 


域控内使用策略部署和软件分发  域控内使用策略部署和软件分发




 四、增加网络映射驱动器

 打开【Default Domain Policy】的【策略编辑器】界面;选择【用户配置--->首选项--->Windows设置--->驱动器映射】;选中驱动器映射,点击鼠标右键选择【新建--->映射驱动器】



域控内使用策略部署和软件分发


域控内使用策略部署和软件分发

域控内使用策略部署和软件分发


 【策略配置后要刷新:在服务器端执行 gpupdate /force 命令】;


域控内使用策略部署和软件分发


重启客户端电脑后使用域账号登陆后查看电脑如下图所示:

域控内使用策略部署和软件分发





推荐本站淘宝优惠价购买喜欢的宝贝:

域控内使用策略部署和软件分发

本文链接:https://hqyman.cn/post/2481.html 非本站原创文章欢迎转载,原创文章需保留本站地址!

分享到:
打赏





休息一下~~


« 上一篇 下一篇 »

发表评论:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

请先 登录 再评论,若不是会员请先 注册

您的IP地址是: