Windows Server 2008 R2 AD组策略实施细则

域策略部署细则

1、关闭windows自动更新

用户配置----管理模板----系统----windows自动更新

2、关闭防火墙和开启远程桌面（未验证）

计算机配置----策略----windows设置----安全设置----高级安全windows防火墙----属性关闭

计算机配置----策略----管理模板----管理组件----远程桌面服务----远程桌面会话主机----连接----允许用户使用远程桌面服务进行远程连接

3、统一桌面壁纸

准备一张图片“wallpaper.jpg”,充当统一的桌面背景。

将上面的图片放置在域控制器的共享文件夹wallpaper中

用户配置----策略----管理模版----桌面----active desktop

启动active desktop  设置不允许更改指定共享出来的桌面壁纸

4、允许交互式登录（未验证）

计算机配置----策略----windows设置----安全设置----本地策略----用户权限分配

允许本地登录：administrator  administrators   domain users

允许通过远程桌面服务访问：administrators  domain users

从网络访问此计算机：administrators  domain users

用户账户加入remote desktop组

客户端本地组加入domain Users

客户端本地安全策略----用户权限分配----允许通过远程桌面服务登录：加入Users组

5、禁止U盘等可移动设备

用户配置----策略----管理模板----系统----可移动存储访问（仅限WIN7客户端）

XP客户端禁止U盘等可移动设备（该策略只能在默认策略上执行）

计算机配置----策略----管理模板----添加adm.usb模板（*此模板可以下载，下载地址：http://support.microsoft.com/kb/555324/en-us，将其中的代码部分复制到记事本，之后另存为名如：usb.adm格式的文件。）最后在该模板内启用相应的设置

计算机配置----策略----windows设置----安全设置----文件系统----添加文件

依次添加Usbtor.inf和Usbtor.pnf两个文件

6、禁止安装软件

一般情况下，不将用户帐户加入domain admin组即可阻止其安装软件

7、开机点亮小键盘

编写一个vbs脚本，代码如下

Set WshShell = CreateObject("WScript.Shell")

WshShell.SendKeys "{NUMLOCK}"

命名为numlock.vbs

计算机配置----策略----windows设置----脚本（启动/关机）----添加即可

8、客户端创建快捷方式到文件服务器

用户配置----首选项----windows设置----快捷方式

这里可以设置文件服务器快捷方式，网络url快捷方式等