当前位置:文档之家› 2003域中限制用户安装和卸载软件的权限

2003域中限制用户安装和卸载软件的权限

何在2003域中限制用户安装和卸载软件的权限,我应该怎么通过设置
策略实现?
可以考虑“power users”组,改组是受限制的。

尽管“power users”组的成员比“administrators”组的成员的系统访问权限要低,但“power users”组成员依然可以有较大权限来访问系统。

如果您的组织中使用了“power users”组,则应仔细地控制该组的成员,并且不要实现用于“受限制的组”设置的指导。

“受限制的组”设置可在windows xp professonal 的“组策略对象编辑器”中的如下位置进行配置:
计算机配置\windows 设置\安全设置\受限制的组
通过将需要的组直接添加到gpo 命名空间的“受限制的组”节点上,管理员可以为gpo 配置受限制
的组。

如果某个组受限制,您可以定义该组的成员以及它所属的其他组。

不指定这些组成员将使该组完全
受限。

只有通过使用安全模板才能使组受限。

查看或修改“受限制的组”设置:
.打开“安全模板管理控制台。

注意:默认情况下,“安全模板管理控制台”并没有添加到“管理工具”菜单。

要添加它,请启动microsoft
管理控制台(mmc.exe) 并添加“安全模板”加载项
2.双击配置文件目录,然后双击配置文件。

3.双击“受限制的组”项。

4.右键单击“受限制的组”
5.选择“添加组”
6.单击“浏览”按钮,再单击“位置”按钮,选择需浏览的位置,然后单击“确定”。

注意:通常这会使列表的顶部显示一个本地计算机。

7.在“输入对象名称来选择”文本框中键入组名并按“检查名称”按钮。

单击“高级”按钮,然后单击“立即查找”按钮,列出所有可用组。

选择需要限制的组,然后单击“确定”。

单击“添加组”对话框上的“确定”来关闭此对话框。

对于所列出的组来说,将添加当前不是所列组成员的任何组或用户,而当前已是所列组成员的所有
用户或组将从安全模板中删除。

为完全限制“power users”组,此组的所有用户和组成员的设置都将删除。

对于组织中不准备使用的内置组(例如“backup operators”组),建议您限制它。

如何使用组策略的进行软件分发和如何制作.msi文件?
软件分发是这样进行的:分配应用程序打开“软件安装”管理单元,单击控制台中的“软件安装”节点。

位置:group_policy_object_name-计算机配置(或用户配置)- 软件设置- 软件安装,右键单击详细信息窗格,单击“新建”,然后单击“软件包”。

在“打开”对话框中,单击要分配的“windows 安装程序”软件包,然后单击“打开”。

(“打开”对话框将显示位于默认软件分发位置的软件包。

有关如何设置默认软件分发位置的指示,请参阅相关主题。

)如果windows 安装程序包位于不同的网络共享位置,请单击“浏览”查找该软件包的分发位置。

在“部署软件”对话框中,单击“已分配”,然后单击“确定”。

有很多软件都可以制作msi文件,比如advanced installer,微软光盘也自带一个,不过并不好用,建议找第三方的工具。

域环境下,有很多职员可以用软件或光盘把本地帐号的密码破解的,请问有没有办法把本地管理员帐
号删除掉?或有没有更好的方法?
内置的本地管理员帐户是众所周知的帐户名,易于成为攻击者的目标。

建议您另外为该帐户选择一个名称,并且避免使用可表明管理身份或较高的访问权限帐户的名称。

同时,务必还使用“计算机管理”控制台来更改本地管理员的默认描述。

如果对此帐户进行了重命名,但是忘了更改默认描述:“管理计算机(域)的内置帐户”,这不足以职员的注意力。

还一定要记住,如果允许匿名帐户枚举系统上的用户,在很大程度上会与重命名管理员帐户所带来的安全好处相抵消。

如果使用“帐户: 重命名系统管理员帐户”设置,重命名此帐户及其描述,会强制攻击者在破解此帐户时,必须找出帐户名和密码,而不是只找出密码。

重命名后的帐户名及其描述不应当包括以下术语:root、su、admin、adm 或supervisor。

因此,建议使用“帐户: 重命名系统管理员帐户”设置,将此帐户重命名为不表明管理或较高特权访问帐户的名称。

这就是孙子兵法的
迷魂阵。

在部署策略时,遇到了冲突。

同事都不明白是怎么回事?
这是因为组策略有优先级,你要记住这些规则:计算机策略覆盖用户策略;不同层次的策略产生冲突时,子容器上的gpo优先级高;同一容器上多个gpo产生冲突时,处于gpo列表最高位置的gpo优先
级最高。

总体原侧就是:后执行的优先级高。

这样,处理方法是:
变更组策略的应用顺序;阻止继承;强制(禁止替代);避免变更应用顺序。

为了更好的理解,我在这里列举一个例子一起分析一下。

部署组策略时遇到冲突,如何调整要根据实际情况进行分析。

由于你没有说明是在什么情况下部署的组策略。

那么我要分几个情况来讲述。

如果对计算机和对用户的组策略发生冲突,则在缺省情况下,针对计算机的组策略优先;如果是本地组策略和域中组策略发生冲突,那么就要分析一下:如果是域环境下是是域安全策略生效,如果是本地用户登录,则是本地安全策略起作用。

由此我们知道了这个问题的实质就是优先级的高低。

本地组策略对象存储在各个本地计算机上。

一台计算机上只存储一个本地组策略对象,而且它有一个在非本地组策略对象中可用的设置子集。

如果二者的设置发生冲突,非本地组策略对象的设置能覆盖本地组策略对象的设置。

如果不冲突,则都可以应用。

_7Q4X U-n7b W(T
假设我们以配置用户桌面上有无“网上邻居”图标这一策略项为例来分析组策略冲突时的生效级别。

"I
l4r } |/v
一、同一ou上多个组策略
我们先在“active directory用户和计算机”中新建一个ou(组织单元)“1”,并在其中新建一个用户“lzy”。

然后我们给“1”这个ou建立两个组策略:一个命名为“有‘网上邻居’”,并对其进行配置,停用“隐藏桌面上的‘网上邻居’图标”这一项目;另一个命名为“无‘网上邻居”’,并对其进行配置,启用“隐藏桌面上的‘网上邻居’
图标”这一项目。

当这两个互相存在冲突的策略同时作用于ou“1”时,以排在最上面策略为准(策略由下而上执行,以最后执行的为准)。

即用户chen登录时桌面上还是有“网上邻居”图标的.
如果我们对排列在下的“无‘网上邻居”’策略设置了“禁止替代”,或者两者都设置了“禁止替代”,则以排在下面的“无‘网上邻居’”为准,即ou“1”中的用户lzy登录时桌面上将没有“网上邻居”图标。

其原因是“禁止替代”具有强行执行的效力,并且,依据“禁止替代的权限不可下降”的原则,先执行的“不可替代”项目将屏蔽
掉其后执行的“禁止替代”项目。

二、父ou和子ou
在域上新建ou“2”,并建立它的子ou“2(1)”,同时在子ou“2(1)”中建立用户“yangsir”。

在父ou“2”上新建一个组策略“无‘网上邻居’”,并对其进行相应配置;在子ou“2(1)”上新建组策略“有‘网
上邻居’”,并对其进行相应配置。

大家知道一个ou上的组策略在默认情况下是要继承到其子ou上的。

而这时子ou中的策略项目和其父ou上的项目存在冲突。

在这种情况下,以子ou上的项目为准(先执行父ou上的策略,后执行子ou上的策略,以后执行的为准),即子ou中的用户yangsir登录时,桌面上仍然有“网上邻居”图标。

另外,与第一种情况相同,如果父ou“2”上的“无‘网上邻居’”策略设置了“禁止替代’,即便是子ou“2 (1)”上的“有‘网上邻居”’也设置了“不可替代”,其最终执行结果依旧以先执行的父ou为准,即桌面无“网上邻居”。

三、“阻止策略继承”与“禁止替代” A
“阻止策略继承”将阻断子ou从父级ou乃至更高级ou或域上继承组策略设置。

而在父级ou的策略上设置“禁止替代”,将使设置在子ou上的“阻止策略继承”失效。

即这时用户yangsir登录时,产生效果的依旧是从父级ou上继承下来的,被设置为“禁止替代”的策略——“无‘网上邻居’”,这时桌面上将没有“网上
邻居”图标。

相关主题