Windows Server 中排名前 10 的 GPO
Windows Server 办公室的十大组策略——密码策略、屏幕锁定、USB 块、驱动器映射、打印机、更新、文件夹重定向、AppLocker、审核和本地管理控制——每一项都用简单的语言进行了解释。
📑章节
- 为什么新域名首先需要这十项政策
- 密码政策 — 适用于整个域的一条规则
- 屏幕锁定 - 无人值守的电脑自行锁定
- USB 屏蔽 — 笔式驱动器不再是一扇门
- 驱动器映射 - 服务器共享自行显示
- 打印机 — 无需接触 PC 的办公室打印机
- 更新 - Windows 更新按您的计划进行
- 文件夹重定向 - 文档位于服务器上，而不是 PC 上
- AppLocker — 仅运行经过批准的程序
- 审核 - 记录谁登录以及谁失败
- 本地管理员控制 - 几乎没有人是自己 PC 上的管理员
- 在向所有人推广之前先在试点 OU 上进行测试
📋 概述和分步指南
首先打开组策略管理
所有十项策略均构建在一个控制台中：组策略管理控制台。打开“运行”框，键入以下命令并按 Enter。整个列表的工作规则是每个作业一个GPO，每个GPO都有一个简单的名称，例如Block-USB-Storage或Screen-Lock-10-Min - 可以单独测试、禁用、回滚和过滤单独的策略，而一个巨大的GPO会作为一个巨大的失败。
gpmc.msc密码策略——整个域的一条规则
路径：计算机配置→策略→Windows设置→安全设置→帐户策略→密码策略，通常在默认域策略中编辑。设置人们实际可以记住的最小长度——12 个字符，复杂程度每月变化 8 个字符。微软自己的现代指导已经放弃了强制频繁过期，因为用户以可预测的模式回答它。长度加上合理的帐户锁定策略是诚实的组合。
屏幕锁定 — 无人值守的 PC 自行锁定
路径：用户配置 → 策略 → 管理模板 → 控制面板 → 个性化 — 启用屏幕保护程序，设置超时，并打开密码保护屏幕保护程序。计算机端双胞胎“安全选项”下的交互式登录：计算机不活动限制对每台计算机执行相同的工作。十分钟是办公室的最佳时机：有人从以帐户或 HR 身份登录的未锁定电脑前走开，任何路过的人都会突然变成那个人。这项政策弥补了建筑物中最便宜的安全漏洞。
USB 存储控制 — 笔式驱动器不再是一扇门
路径：计算机配置 → 策略 → 管理模板 → 系统 → 可移动存储访问。您可以拒绝每个设备类别的读取、写入或执行，或者在一项设置中拒绝所有可移动存储。办公室的原因是数据：一个随身碟可以将整个客户数据库带出大楼，或者将病毒带入大楼。
驱动器映射 — 服务器共享自行出现
路径：用户配置 → 首选项 → Windows 设置 → 驱动器映射。这是组策略首选项，而不是经典策略：您将驱动器盘符指向共享，选择操作（创建或更新），并在帐户应该获得销售不应获得的驱动器时使用项目级定位。此策略淘汰了 IT 中最古老的脚本（登录批处理文件）和每日“服务器驱动器消失”调用。显示红十字的映射驱动器可以立即读取：网络或权限问题，而不是映射之谜。
打印机部署 — 无需接触 PC 的办公室打印机
路径：首选项 → 控制面板设置 → 打印机（或从打印管理进行部署）。用户登录后，办公室打印机就在那里，并带有来自打印服务器的正确驱动程序。按 OU 或组定位打印机，以便三楼停止打印到底层。
Windows 更新控制 — 按您的计划进行更新
路径：计算机配置 → 策略 → 管理模板 → Windows 组件 → Windows 更新。主要设置：配置自动更新、登录用户不自动重新启动、安装截止日期以及（如果办公室使用 WSUS）Intranet 更新服务器位置。推迟设置让试点小组首先获取更新，然后办公室的其他人员在几天后获取更新。明确工作：此策略控制时间，而不是是否发生更新。设置一个下班后安装窗口和一个用户可以看到的重启截止日期，更新就会变得无聊——这正是您想要的。
文件夹重定向 - 文档位于服务器上，而不是 PC 上
路径：用户配置→策略→Windows 设置→文件夹重定向。文档、桌面和图片静静地指向文件服务器上的文件夹，而不是本地磁盘。回报出现在最糟糕的一天：一台 PC 死机，用户在任何其他 PC 上登录，并且他们的文件已经在那里 - 并且服务器副本位于您的正常备份中。
AppLocker — 仅运行经过批准的程序
路径：计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker，或同一区域中较旧的软件限制策略。这个想法是白名单：Windows、程序文件和管理员批准的应用程序可以运行；用户下载到自己的个人资料中的任何内容都可能不会。这是清单上最强大的一项，也是最需要尊重的一项。
审核日志记录 - 记录谁登录以及谁失败
路径：计算机配置→策略→Windows 设置→安全设置→高级审核策略配置。至少，审核域控制器和成员服务器上的登录成功和失败。审计回答了每个办公室在事件发生后都会提出的问题：谁的帐户被使用，来自哪台电脑，何时使用？
本地管理控制 — 几乎没有人是自己 PC 上的管理员
路径：首选项→控制面板设置→本地用户和组可以清理每台PC上的管理员组——删除流浪用户帐户，保留IT支持组。配套产品是Windows LAPS，它为每台电脑提供了一个唯一的、自动轮换的本地管理员密码，安全地存储在Active Directory 中。日常工作不需要管理员权限；恶意软件继承了它们。取消常设管理员权限，在 IT 需要本地密码的那一天保留 LAPS，正常办公室中一半的事件永远不会发生 - 但在推出之前保留一条经过测试的玻璃路线。
在测试 PC 上应用、更新和验证
将新 GPO 链接到测试 OU，然后在测试客户端上强制刷新策略并在其他人收到结果之前证明结果。第一个命令立即应用策略，而不是等待下一个刷新周期；第二个写了一份报告，准确列出了哪些 GPO 已被应用，哪些被拒绝，以及原因。
gpupdate /forcegpresult /h report.html🏷️主题搜索变量和关键字
🎙️ 完整文字记录 — 点击展开
__TOK_35__
__TOK_36__
__TOK_37__
❓ 常见问题
本教程是 100% 免费学习的吗？
__TOK_38__
初学者可以遵循本指南吗？
__TOK_39__
如果遇到困难我可以在哪里提问？
__TOK_40__