2008R2 Win7 管理（一）

         2008R2Win7管理一创建域和加入域

最近微软放出了2008R2和win7的中文版,呵呵,符合国人的习惯,2008R2最好玩的功能虚拟化高可用群集中的快速迁移和实时迁移我们在前面已经玩过了,高深的我们已经玩过了,没有玩过的也跟着我的博文一起玩过了,呵呵,本系列玩玩2008R2的基础功能和配套win7管理,例如域和一些其他管理上的新亮点和特性. 为什么要配套管理和做系列呢,因为相应的服务器版本是对应相应的客户端,例如windows 2000 server对windows 2000和windows server 2003对windows xp以及windows server 2008对windows vista.本年度微软发布的windwos server 2008 R2则是为windows 7量身定做的. 为什么要分版本对应呢,这里描述个简单的例子,假如域控使用windows server 2008构建,客户端使用windows xp来构建,某些组策略可能会无法套用,需要到微软下载专用的补丁才能正常套用,就像office2003要打开office2007创建的文档需要office兼容包,但是office兼容包不是随更新提供的,只是单独到微软网站下载的.如果网络上没有先例,可能只能将问题提到微软,如果是盗版用户,则无法获得微软的解答,到微软中文论坛提问则另当别论,呵呵,微软中文论坛的大牛多,运气好某个大牛在就给解答了.所以目前我公司的架构还没升级,域控为2003网域,其他服务器为2008,2008R2只是个人测试中. 不说废话了,先描述我的环境, OS1安装windows server 2008 R2企业版 OS2安装windows 7 旗舰版 过程为创建域和用户以及加入域 1.创建2008R2网域和创建域用户 首先在server使用dcpromo开始安装网域操作,步骤跟2003和2008都没什么太大的差异,基本上一样,因此也就不截图了 有一点不一样而已-林功能级别! 安装好网域 然后看看效果图 创建个用户为win7加入网域做准备 先创建个公司的ou,然后在ou下建部门,部门下再建用户,本实例仅仅测试就不折腾那么多了,只创建了个office的ou,然后在ou下开工创建win7的登录账号 单击创建新用户 输入姓,然后输入登录名 输入密码,要求密码符合默认的域策略的强密码策略 信息预览 看看创建OK的test用户 2.将win7加入网域 下面我们去折腾7 看看7的样子 在系统属性中选择更改设置选项来更改计算机名 单击更改来直接加入网域或者使用网络ID以向导的方式加入网域 在隶属于选项,单击域,并输入域名的dns后缀,然后单击确定 输入有权限将计算机加入网域的网域账户,然后单击确认. 加入成功,出现成功提示. 要求重启计算机 打击关闭, 要求立即重启或者稍后重启 重启后出现的欢迎画面,默认是以本地管理员这个画面用户登录,我们需要单击切换用户来使用域用户登录 单击其他用户 默认已经有了登陆到ccfxny(ccfxny是ccfxny.com的netbios名称)的选项,输入创建的test账户和密码 在服务器的计算机OU下已经能看到计算机,还识别出了计算机版本 如果我们要针对计算机做策略,就需要将这个计算机从计算机这个默认的ou下移动到自己创建的ou下.不然默认的设置是只有全域策略中的计算机设置才能套用到computer这个OU. 登陆到win7后,在计算机上右键管理-出现要求输入有权限的账户才能正常使用,比2003改进不少,2003对没权限的用户直接不让打开.环境有了,下篇开始做点实际的,敬请期待. 2008R2Win7管理二组策略之控管USB及QQ等 上篇我们基本的应用已经有了,有兄弟说我的东西太基础了,哈,高楼都是从基础开始建的,其实我也有点迷惑,基础了嫌我写基础了,写点高深的又没人看.不过不管怎样,我还是会坚持自己的风格,我更希望的是我能起到一个抛砖引玉的作用,而不是一个讲师,什么玩意都告诉你们,怎么去折腾怎样怎样的,古人有云:”授人以鱼不如授人以渔”这句话用在如今的IT行业也很合适,我经常在论坛看见有求助的网友恨不得回答的人所有的都包办了,缺乏思考和自我学习.这是一种悲哀. 本篇仅为列举2个例子一个封锁qq,一个封锁USB,根据这个路线走可以封锁任何你想封锁的程序,以及封锁usb存储设备,光驱设备,以及软驱设备. 例子一为封锁qq等你想封锁的程序,例子二为封锁usb存储设备但不封锁usb鼠标等设备. 开始正题1.封锁QQ 首先单击组策略管理,来进行组策略管理 在组策略管理里面,新建一个组策略. 输入组策略的名称 创建完成.单击编辑来编辑组策略. 分为计算机策略和用户策略,计算机策略只针对OU里面有计算机对象的才能生效,如果OU里面没有计算机,做了计算机策略是不能生效的,用户策略则是针对用户的. 我们目前做针对用户的策略,来封锁程序,在软件限制策略上单击创建软件限制策略. 创建以后则有了默认级别的规则. 右键单击新建哈希规则 单击浏览找到QQ.exe单击确定则会自动读取QQ的哈希值 单击确定完成哈希规则的创建 新建路径规则也简单描述一番,路径可以用万有字符代替,只要路径中包含该字符,则无法访问. 这样做的目的是一旦QQ的哈希值大升级变更了哈希值,还能用路径规则限制QQ的访问 创建完成如图,下面我们要做的就是将office这个组策略套用到office这个ou上或者我们要控制的ou上,因为做的是用户策略,也要保证该OU下存在用户账户,并且客户端使用该账户登录.直接将office这个组策略向欲连接的ou上拖拽即可连接. 拖拽到office这个ou出现提示,是否连接,单击确定连接 连接完成,查看office这个ou连接的组策略,可以看到如图 查看继承,可以看到继承了默认的组策略.,也受全域策略限制 下面我们在客户端上手动刷新一下组策略 打开QQ程序,则出现阻止错误 2.USB存储封锁,在2008R2网域后,针对usb存储已经不像2003网域那样封锁比较麻烦,这里能很好的做封锁,也有针对计算机和针对用户. 针对用户的,不管他在何电脑都不能使用usb,针对计算机的则是不管是什么用户到该电脑都无法使用usb,各位酌情选择. 这是封锁前,插入的一个量产过的u盘,能正常识别出usb-cdrom和U盘设备. 下面开始做策略,这个是针对计算机的策略,位于计算机配置=策略-管理模版=系统-可移动存储访问 用户的位于用户配置-策略=管理模版-系统-可移动存储访问 编辑可移动磁盘拒绝读取权限,选择已启用 拒绝写入权限启用 设置2个策略完成如图 在客户端刷新一下,再插入U盘,看看,能正常识别,但是F这个U盘无法访问. 但是量产成光驱的还能正常读取 如果我们在上面设置了禁止存取光驱,那么光驱也会不能读取,看看简单的几步就能将在windows 2003环境中封锁U盘存储设备的困境解决,2003封锁U盘就是一刀切,连usb鼠标也封锁了,使用本文则不会,本文只针对usb存储设备!是不是很实用呢. 本文出自 “ ccfxny的博客 ” 博客，请务必保留此出处 http://ccfxny.blog.51cto.com/350339/198656