爱华网本白皮书将对组策略进行介绍。首先概述您能够利用组策略做什么，然后介绍您必须了解的基本概念。例如，什么是组策略对象 (GPO)？继承的含意是什么？弄懂基本原理之后，本白皮书将提供最常见组策略任务的分步说明，其中配有大量屏幕截图。
备注
本指南适合于组策略初学者。文中尽可能多地使用平实的英文以简明的方式描述组策略概念。组策略专业人士若要了解更多技术上的详细信息，应参见 TechNet 上的组策略规划和部署指南。
有关本文档的可下载版本，请参见 Microsoft 下载中心的初级组策略。
组策略概述
组策略简直就是在基于 Active Directory 域服务 (AD DS) 的网络上访问和配置计算机及用户设置的最轻松易行的方式。如果您的企业未在使用组策略，那么将会坐失降低成本、控制配置、使用户保持卓有成效和愉悦的心情以及增强安全性的大好机会。可以将使用组策略进行配置视为“一举多得”。
使用组策略的要求以及遵照本白皮书提供的说明进行操作均直接明了：
网络必须基于 AD DS（即必须至少在一台服务器上安装 AD DS 角色）。若要了解关于 AD DS 的更多信息，请参见 TechNet 上的 Active Directory 域服务概述。
您要管理的计算机必须加入该域，并且您要管理的用户必须使用域凭据登录其计算机。
您必须拥有编辑域中组策略的权限。
尽管本白皮书侧重于在 AD DS 中使用组策略，但是您也可以在每台计算机上本地配置组策略设置。虽然此功能无论对于一次性方案还是工作组计算机都大有裨益，但是建议不要对基于 AD DS 的业务网路使用本地组策略。原因很简单：由于基于域的组策略实行集中管理，因此可以从一个位置触及很多计算机。本地组策略要求接触每台计算机，这在大型环境中不是理想方案。有关配置本地组策略的更多信息，请参见 TechNet 上的本地组策略编辑器。
Windows 7 强制实施您使用组策略定义的策略设置。大多数情况下，它会禁用这些设置的用户界面。此外，因为 Windows 7 在注册表中的安全位置存储组策略设置，标准用户帐户无法更改这些设置。因此，进行一次设置，就可以将该设置配置并实施到很多计算机上。当某个设置不再应用于计算机或用户时，组策略将删除该策略设置，还原原始设置并启用其用户界面。功能令人惊叹且极其强大。
备注
标准用户帐户是属于本地“用户”组（而非本地“管理员”组）成员的用户帐户。它们配置系统设置的能力有限。与早期版本的 Windows 相比，Windows 7 可以更好地支持标准用户帐户，允许这些帐户更改时区、安装打印机、修复网络连接，等等。部署标准用户帐户是一种最佳实践，只需将用户帐户添加到本地“管理员”组，即可完成此操作。当您将计算机加入域时，Windows 7 会将“域用户”组自动添加到本地“用户”组。
基本组策略概念
通过使用组策略管理控制台 (GPMC)，可以管理组策略的方方面面。图 1 显示了 GPMC，本白皮书在您了解重要组策略概念时将多次引用此图。
图 1：组策略管理控制台
从“开始”菜单启动 GPMC：单击“开始”、“所有程序”、“管理工具”、“组策略管理”。还可以单击“开始”，键入 Group Policy Management，然后在“开始”菜单的“程序”部分单击“组策略管理”。Windows Server 2008 和 Windows Server 2008 R2 在您运行 AD DS 角色时将包括 GPMC。否则，可以按照本白皮书后面的“在 Windows 7 上安装 GPMC”一节所述，将 GPMC 安装到 Windows Server 2008、Windows Server 2008 R2 或 Windows 7 上。
组策略对象
GPO 包含策略设置。GPO 可视为策略文档，这些文档将其设置应用于其控制范围内的计算机和用户。如果 GPO 是策略文档，则 GPMC 就类似于 Windows 资源管理器。使用 GPMC 创建、移动和删除 GPO 就像使用 Windows 资源管理器创建、移动和删除文件一样。
在 GPMC 中，可以在组策略对象文件夹中查看所有域的 GPO。在图 1 中，标注编号 1 显示域 corp.contoso.com 的三个 GPO。这些 GPO 包括：
记帐帐安全性。此为专门为 Contoso, Ltd. 创建的自定义 GPO。
默认域控制器策略。默认情况下，安装 AD DS 服务器角色时将创建此策略。其中包含专门应用于域控制器的策略设置。
默认域策略。默认情况下，安装 AD DS 服务器角色时将创建此策略。其中包含应用于域中所有计算机和用户的策略设置。
组策略链接
AD DS 的顶层是站点和域。简单实现将包含单个站点和单个域。在域中，可以创建组织单位 (OU)。OU 类似于 Windows 资源管理器中的文件夹。但是，它们不是包含文件和文件夹，而是包含计算机、用户及其他对象。
例如，在图 1 中，可以看到名为“部门”的 OU。在部门 OU 下，显示四个子文件夹：记帐、工程、管理和营销。它们是子 OU。在图 1 中，除了您看到的域控制器 OU 之外，不存在其他 OU。
这与组策略链接有什么关系？如果不将组策略对象文件夹中的 GPO 与站点、域或 OU 链接，则这些 GPO 将没有任何作用。将某个 GPO 链接到容器时，组策略会将该 GPO 的设置应用于该容器中的计算机和用户。在图 1 中，标注编号 2 指向链接到 OU 的两个 GPO：
第一个 GPO 名为“默认域策略”，此 GPO 链接到域 corp.contoso.com。此 GPO 将应用于该域中的每个计算机和用户。
第二个 GPO 名为“记帐安全性”，此 GPO 链接到名为“记帐”的 OU。此 GPO 将应用于该记帐 OU 中的每个计算机和用户。
在 GPMC 中，可以在组策略对象文件夹中创建 GPO，然后链接它们（两个步骤）。您还可以在一个步骤中创建并链接 GPO。大多数情况下，仅在单个步骤中创建并链接 GPO，本白皮书后面的“创建 GPO”一节将对此进行介绍。
组策略继承
如上一节所提示，将某个 GPO 链接到域时，该 GPO 将应用于该域中每个 OU 及子 OU 中的计算机和用户。同样，当您将某个 GPO 链接到某个 OU 时，该 GPO 将应用于所有子 OU 中的计算机和用户。此概念称为继承。
例如，如果创建一个名为“Windows 防火墙设置”的 GPO 并将其链接到图 1 中的 corp.contoso.com 域，则该 GPO 中的设置将应用于该图中所示的全部 OU：部门、记帐、工程、管理、营销和域控制器。如果您转而将该 GPO 链接到部门 OU，则该 GPO 中的设置仅应用于部门、记帐、工程、管理和营销这几个 OU。它不会应用于整个域或域控制器 OU。降低一个级别，如果将这同一个 GPO 链接到图 1 中的记帐 OU，则该 GPO 中的设置将仅应用于记帐 OU，因为该 OU 不包含子 OU。在 GPMC 中，通过单击“组策略继承”选项卡（图 2 中的标注编号 1）可以查看容器将继承哪些 GPO。
图 2：组策略继承和优先级
那么，多个 GPO 包含同一设置时会发生什么情况呢？在这种情况下，优先顺序就要起作用了。一般情况下，组策略应用 GPO 的顺序决定优先级。这种顺序依次为站点、域、OU 和子 OU。因此，子 OU 中 GPO 的优先级高于链接到父 OU 的 GPO 的优先级，链接到父 OU 的 GPO 的优先级高于链接到域的 GPO 的优先级，而链接到域的 GPO 的优先级又高于链接到站点的 GPO 的优先级。记住这种优先关系的简单方式是，组策略自顶而下应用 GPO，沿着这一路线覆盖设置。不过，在较为高级的方案中，可以重写优先顺序。
您还可以在单个 OU 中拥有包含同一设置的多个 GPO。如前所述，组策略应用 GPO 的顺序决定优先顺序。在图 2 中，可以看到两个链接到域 corp.contoso.com 的 GPO：Windows 防火墙设置和默认域策略。组策略在以较高的链接顺序应用 GPO 后再以较低的链接顺序应用它们。在本案例中，它将在默认域策略后应用 Windows 防火墙设置。那么请谨记，链接顺序 1 是第一优先级，链接顺序 2 是第二优先级。通过单击图 2 中标注编号 2 旁边显示的向上和向下箭头，可以更改容器的链接顺序。
备注
现在您可能已经认识到，组策略是一款功能非常丰富的工具。但是，组策略也有可能把事情搞得过于复杂。在简单的环境中，如实验室和小型企业，将所有 GPO 链接到域没有任何问题。保持其简洁性。应该对复杂化进行论证。在图 1 中，如果您希望创建一个 GPO 并仅将其链接到工程 OU 和营销 OU，则应该论证 GPO 包含仅应用于这两个部门（而不应用于任何其他部门）的设置是正确的。如果无法进行这种论证，则通过一次性将该 GPO 链接到域来保持简洁性。
组策略设置
至此，您已经了解了 GPO。您已经明白 GPMC 对于 GPO 和 OU，就像 Windows Explorer 对于文件和文件夹。GPO 是策略文档。尽管如此，有时，您可能需要编辑其中某个文档，所用编辑器是组策略管理编辑器 (GPME)（如图 3 中所示）。在 GPMC 中右键单击某个 GPO 并单击“编辑”，即可在 GPME 中打开该 GPO。完成后，关闭窗口即可。GPME 会自动保存更改，因此您不必保存。
图 3：组策略管理编辑器
在图 3 中，标注编号 1 和 2 分别指向计算机配置和用户配置。“计算机配置”文件夹中包含应用于计算机的设置，哪些用户登录计算机都是如此。这些设置往往是配置和控制计算机的系统及安全设置。“用户配置”文件夹中包含应用于用户的设置，用户使用哪台计算机都是如此。这些设置往往影响用户体验。
在“计算机配置”和“用户配置”文件夹中，有两个子文件夹（图 3 中的标注编号 3 和 4）：
策略。策略包含组策略实施的策略设置。
首选项。首选项包含可用于更改几乎所有注册表设置、文件、文件夹或其他项的首选项设置。使用首选项设置，可以配置非组策略感知的应用程序和 Windows 功能。例如，您可以创建一个首选项设置，使其为第三方应用程序配置注册表值，从用户配置文件中删除“示例图片”文件夹，或者配置 .ini 文件。还可以选择组策略是否实施每个首选项设置。但是，标准用户帐户可以在两次组策略刷新之间更改在“用户配置”文件夹中定义的大多数首选项设置。若要了解有关首选项设置的更多信息，请阅读组策略首选项概述。
最初了解组策略时，要配置的大多数设置位于“管理模板”文件夹中。它们是组策略实施的基于注册表的策略设置。它们有别于其他策略设置，原因有二。第一点，组策略在称为策略分支的特定注册表位置存储这些设置，标准用户帐户无法对此进行更改。组策略感知的 Windows 功能和应用程序在注册表中查找这些设置。如果它们找到这些策略设置，它们将使用这些策略设置，而不使用常规设置。它们往往同时禁用这些设置的用户界面。
第二点，管理模板文件（扩展名为 .admx）为这些设置定义模板。这些模板不仅定义策略设置在注册表中的位置，而且还描述如何在 GPME 中提示它们。例如，在图 4 所示的组策略设置中，管理模板文件将定义帮助文本、可用的选项、受支持的操作系统，等等。
图 4：组策略设置
编辑策略设置时，通常需要进行图 4 中标注编号 1 到 3 所指示的选择。一般情况下，单击：
“启用”利用启用该策略设置的值将其写入注册表。
“禁用”利用禁用该策略设置的值将其写入注册表。
“未配置”将策略设置保持为未定义状态。组策略不会将策略设置写入注册表，因此它对计算机或用户没有任何影响。
概括“启用”和“禁用”对每个策略设置意味着什么是不可能的。通常可以阅读标注编号 5 中所示的帮助文本，以确定这些选择的确切含意。此外，还必须仔细阅读策略设置的名称。例如，某些策略设置显示“打开功能 X”，而其他策略设置则显示“关闭功能 Y”。在每种情况下，“启用”和“禁用”具有不同的含义。在感到满意之前，请确保阅读所配置策略设置的帮助文本。
某些策略设置具有可以配置的其他选项。图 4 中的标注编号 4 显示可用于组策略刷新间隔策略设置的选项。在大多数情况下，默认值与 Windows 的默认值匹配。同样，帮助文本通常提供关于可配置选项的详细信息。
组策略刷新
如在上一节所了解到的，GPO 包含计算机设置和用户设置。组策略应用：
计算机设置（Windows 启动时）。
用户设置（用户登录计算机之后）。
组策略还定期刷新 GPO，确保组策略应用新的和更改后的 GPO，而不是等待计算机重新启动或用户注销。这些刷新之间的时间段称为组策略刷新间隔，默认时间长度是 90 分钟，外加一小段内置的随机时间，为的是防止所有计算机同时刷新。如果在一天的中间更改 GPO，则组策略将在约 90 分钟内应用所做的更改。无需等到这一天结束，即用户注销或重新启动其计算机时。在高级方案中，可以更改默认刷新间隔。
备注
使用命令 Gpupdate.exe，可以随时手动更新组策略。例如，在更新 GPO 之后，您可能希望在某台计算机上刷新组策略以测试所做的更改，而不希望等待组策略刷新间隔。有关分步的说明，请参见本白皮书后面标题为“更新客户端”的一节。
基本组策略任务
现在，您已经了解基本的组策略概念。您知道 GPO 类似于包含策略设置的文档。使用 GPMC 管理 GPO，使用 GPME 编辑 GPO。
还知道通过将 GPO 链接到 AD DS 站点、域和 OU，将 GPO 的设置应用于这些容器。域、OU 和子 OU 从其父级继承设置，但链接到子 OU 的 GPO 中的重复设置的优先级高于链接到父 OU 的 GPO 中的相同设置，而后者的优先级又高于链接到域的 GPO，以此类推。
还知道在站点、域或 OU 中，链接顺序确定优先顺序（数字越小，优先级越高）。最后，您对如何编辑 GPO 以及它们都包含哪些类型的设置有了基本的了解。
既然了解了基本概念，即为了解基本任务做好了准备。本节将介绍如何创建、编辑和删除 GPO。同时还将介绍许多其他任务。对于每个任务，我们都将提供对其用途的解释，以及每一步都配有屏幕截图的分步说明。
备注
Microsoft 桌面优化包 (MDOP) 有一项称为高级组策略管理 (AGPM) 的功能，为组策略扩展了脱机编辑、版本控制和基于角色的委派等功能。任何组织都可以从使用 AGPM 管理组策略中获益。有关 AGPM 的更多信息，请参见通过更改管理增强组策略。
创建 GPO
使用 GPMC 创建 GPO。有两种方式可以创建 GPO：
在一个步骤中创建并链接 GPO。
在组策略对象文件夹中创建 GPO，然后将其链接到域或 OU。
本节中的说明将介绍如何在一个步骤中创建并链接 GPO。
可以从空白 GPO 开始（如说明中所述），也可以使用简易版 GPO。简易版 GPO 是一个高级主题，使用简易版 GPO 中有对该主题的描述。
在域或 OU 中创建并链接 GPO 的步骤
1
在 GPMC 中，右键单击需要创建并链接 GPO 的域或 OU，然后单击“在这个域中创建 GPO 并在此处链接”。
2
在“新建 GPO”对话框的“名称”框中，键入该 GPO 的描述性名称，然后单击“确定”。
编辑 GPO
在 GPMC 中，可以在 GPME 中打开 GPO，以在任何容器中编辑它们。若要查看您的所有 GPO（不管将其链接到何处），可使用组策略对象文件夹来编辑它们。
在域、OU 或组策略对象文件夹中编辑 GPO 的步骤
1
在 GPMC 的左窗格中，单击“组策略对象”以在右窗格中显示域的所有 GPO。也可以单击该域或任何 OU，以在右窗格中显示该容器的 GPO。
2
在 GPMC 的右窗格中，右键单击要编辑的 GPO，然后单击“编辑”在 GPME 中打开该 GPO。
3
在 GPME 中，编辑要更改的组策略设置，并在完成时关闭 GPME 窗口。不必保存更改，因为 GPME 会自动保存更改。
链接 GPO
如果在一个步骤中创建并链接 GPO，则不必将 GPO 手动链接到域或 OU。但是，如果在组策略对象文件夹中创建 GPO，或者解除某个 GPO 的链接并希望将其还原，则需要手动链接该 GPO。链接 GPO 的轻松方式是只需将该 GPO 从组策略对象文件夹拖放到要将其链接到的域或 OU 上。
将 GPO 链接到域或 OU 的步骤
1
在 GPMC 中，右键单击要将 GPO 链接到的域或 OU，然后单击“链接现有 GPO”。
2
在“选择 GPO”对话框中，单击要链接到域或 OU 的 GPO，然后单击“确定”。
解除 GPO 的链接
不再需要将某个 GPO 应用于域或 OU（或其子 OU）时，解除该 GPO 的链接。稍后可以还原该链接，如标题为“链接 GPO”的一节所述。
从域或 OU 解除 GPO 的链接不会删除该 GPO。此操作仅删除该链接。解除 GPO 的链接后，仍然可以在 GPMC 中的组策略对象文件夹中找到该 GPO。
从域或 OU 解除 GPO 的链接的步骤
1
在 GPMC 中，单击包含要解除链接的 GPO 的域或 OU。
2
右键单击要从域或 OU 解除链接的 GPO，然后单击“删除”。
3
在“组策略管理”对话框中，单击“确定”。
删除 GPO
删除 GPO 与从域或 OU 解除 GPO 的链接不同。此操作会删除组策略对象文件夹中的 GPO。此操作不仅删除链接，同时还删除 GPO 本身。
备注
在删除 GPO 之前，应考虑对其进行备份。标题为“备份 GPO”的一节介绍了如何备份 GPO。标题为“还原 GPO”的一节介绍了如何从备份还原 GPO。
从组策略对象文件夹中删除 GPO 的步骤
1
在 GPMC 中，单击“组策略对象”文件夹。
2
在 GPMC 的右窗格中，右键单击要删除的 GPO，然后单击“删除”。
3
在“组策略管理”对话框中，单击“是”确认您要删除该 GPO 及其链接。
4
在“删除”对话框中，确认删除成功，然后单击“确定”。
更新客户端
编辑、测试 GPO 或对其进行疑难解答时，不需要等待组策略刷新间隔（默认为 90 分钟）。通过运行 Gpupdate.exe，可以在任何客户端计算机上手动更新组策略。Gpupdate.exe 支持很多命令行选项，可以通过在命令提示符窗口中键入 gpupdate.exe /? 对这些命令行选项进行了解。但在大多数情况下，可以按照本节中的说明来更新组策略。
使用 Gpupdate.exe 手动更新组策略的步骤
1
单击“开始”，键入 cmd，然后按 Enter 打开命令提示符窗口。
2
在命令提示符下，键入 gpupdate 并按 Enter。Gpupdate.exe 将更新任何更改过的设置。通过键入 gpupdate /force 并按 Enter，可以强制 Gpupdate.exe 更新所有设置，无论它们最近是否更改过。
备份 GPO
备份重要文件是一项重要实践，GPO 也不例外。如果您错误地更改或意外地删除了某个 GPO，则可以从备份将其快速还原。使用 GPMC，可以将 GPO 备份到任何位置。
将 GPO 备份到文件夹的步骤
1
在 GPMC 中，单击“组策略对象”文件夹。
2
右键单击要备份的 GPO，然后单击“备份”。
3
在“备份组策略对象”对话框的“位置”框中，键入要将该 GPO 备份到的文件夹的路径。还可以单击“浏览”来选择文件夹。此外，在“描述”框中，键入该 GPO 的简短描述，然后单击“备份”。
4
在“备份”对话框中，确认结果后单击“确定”。
还原 GPO
使用 GPMC，可以还原以前备份的任何版本的 GPO。本节中的说明将介绍如何从备份文件夹还原一个或多个 GPO。
还原以前备份的 GPO 的步骤
1
在 GPMC 中，单击“组策略对象”文件夹，查看域中的 GPO。
2
右键单击“组策略对象”文件夹，然后单击“管理备份”。
3
在“管理备份”对话框的“备份位置”列表中，单击以前使用过的备份位置。还可以单击“浏览”来选择包含 GPO 备份的文件夹。
4
在“备份 GPO”列表中，选择要还原的一个或多个 GPO，然后单击“还原”。如果看到每个 GPO 有多个版本，而仅希望查看每个 GPO 的最近备份版本，则选中“只显示每一个 GPO 的最新版本”复选框。
5
在“还原”对话框中，确认操作成功，然后单击“确定”。
在 Windows 7 上安装 GPMC
Windows Server 2008 和 Windows Server 2008 R2 在您运行 AD DS 角色时将包括 GPMC。否则，可以将 GPMC 安装在 Windows Server 2008、Windows Server 2008 R2 或 Windows 7 上。安装 GPMC 的方法是，下载 Windows 7 Service Pack 1 (SP1) 的远程服务器管理工具并在计算机上安装以下文件之一：
Windows6.1-KB958830-x64-RefreshPkg.msu。在 x64 计算机（包括运行 Windows Server 2008 R2 的计算机）上安装此程序包。
Windows6.1-KB958830-x86-RefreshPkg.msu。在 x86 计算机上安装此程序包。
安装该更新只是为 Windows 增添功能。还必须使用“控制面板”中的“程序和功能”打开“组策略管理工具”功能。本节中的说明将介绍如何安装该更新以及如何启用“组策略管理工具”。
安装 Windows 7 SP1 的远程服务器管理工具的步骤
1
运行以前下载的以下任一文件：
Windows6.1-KB958830-x64-RefreshPkg.msu
Windows6.1-KB958830-x86-RefreshPkg.msu
然后，单击“是”安装该更新。
2
在“阅读这些许可条款(第 1 页，共 1 页)”页上，查看许可条款；如果接受，则单击“我接受”。
3
在“安装完成”页上，单击“关闭”。
打开“组策略管理工具”功能的步骤
1
单击“开始”，键入 windows features，然后在“开始”菜单的“控制面板”部分单击“打开或关闭 Windows 功能”。
2
在“Windows 功能”对话框中，选中“组策略管理工具”复选框，然后单击“确定”。“组策略管理工具”位于“远程服务管理工具、功能管理工具”下。
总结
您已取得长足的进步。您已经掌握重要的组策略概念，如 GPO、链接、继承等。还了解了如何使用 GPMC 和 GPME 来执行基本任务，如创建、编辑和删除 GPO。
如果您准备更多地了解组策略并拓展您的技能，那么 Microsoft 有很多资源可供您使用。首先，Windows Server TechCenter 上的组策略资源页是一个一站式商店，您可以从中获取任何与组策略相关的技术内容。其中提供大量入门指南和视频。有关特定于 Windows 7 的组策略指导原则，请访问 Windows 客户端安全和控制区域。
