Windows 2000/XP网络组建与系统管理

Windows 2000/XP网络组建与系统管理 李燕中南分校

第九章用户操作环境管理 本章主要介绍： • 用户配置文件的基本概念 • 用户配置文件的三种类型和配置方法 • 登录脚本和主目录的基本概念 • 组策略的定义 • 基于组策略的管理

用户操作环境管理 用户的工作环境包含桌面上所出现的项目与设置，例如:屏幕的颜色、鼠标的设置、窗口的大小与位置、网络驱动器与网络打印机的连接以及应用程序的设置等。在Windows 2000的网络上，可以通过以下的工具来管理用户的工作环境：用户配置文件、登录脚本、主目录、组策略、环境变量、磁盘配额

用户配置文件 • 用户配置文件概念用户配置文件是包含着用户所有自行设置的工作环境，存储用户桌面设置、应用程序设置以及用户个人资料和与登录相关的其他信息。它会由Windows 2000在用户第一次登录时创建。例如：只要使用系统中建立的一个帐户登陆系统一次，就会在系统根目录的Documents and Settings文件夹的下面会生成一个以这个帐户为文件夹名字的文件夹。

用户配置文件示意图 以administrator为例，如图所示：

用户配置文件：内容 • 应用程序数据：程序的专用数据。这部分内容是由程序供应商决定在用户配置文件中存储那些； • Cookie：用户信息和首选项 • 桌面：桌面上面的各个项目，包括文件、快捷方式和文件夹 • Favorites（收藏夹）：到Internet上经常访问网页的位置的快捷方式。 • Local Settings：应用程序数据、历史和临时文件。

用户配置文件：内容 • 我的文档：用户文档和子文件夹 • My Recent Documents：指向最近使用过的文档和访问过的文件夹的快捷方式。 • Sent To：指向文档处理实用程序的快捷方式。 • 【开始】菜单：指向程序项的快捷方式。 • Templates：用户模板项目。 • NetHood：指向【网上邻居】项的快捷方式。 • PrintHood：指向打印机文件夹项的快捷方式。

用户配置文件 作为网络的策划者，在具体实施的时候既可以在不同的计算机上创建不同的用户配置文件以求得到不同的工作环境，也可以全部都使用同样的用户配置文件以获得相同的工作环境。 • 使用用户配置文件有以下几个特点： 1）用户在每次登录到计算机时，有默认的或预先设置的工作环境与界面。

用户配置文件 2）多个用户在使用同一台计算机时，每个用户都可以有他个人的工作环境设置，互不干扰； 3）用户登录到工作站时，其桌面设置与他注销离开时的设置保持一致。 4）用户配置文件可以存储在服务器上，当用户登录到运行Windows 2000的计算机上时，该用户配置文件同样有效。

用户配置文件的结构 删除：将选中的配置文件从本机中删除。更改类型：将用户配置文件设置为“本地配置文件”或“漫游配置文件”两种类型之一。复制到：将一个用户的配置文件复制成另外一个用户的配置文件。

请注意，在Windows XP/2003环境下，用户配置文件的设置和Windows 2000并不相同。 • 演示如下：

用户配置文件的类型 • 用户配置文件的三种类型 • 本地配置文件第一次登录到计算机时，将创建本地用户配置文件，并保存在计算机的本地硬盘上。 • 漫游用户配置文件漫游用户配置文件由系统管理员创建，并保存在服务器上。每次登录到网络上的任何一台计算机时，都可以使用该配置文件。

用户配置文件的类型 • 强制用户配置文件强制用户配置文件也是漫游配置文件，只是它是只读的。用来为个人或整个用户组指定特殊的设置。只有系统管理员才能更改强制用户配置文件。每次登录时，都使用固定的配置。当注销用户时，系统不保存用户所做的任何改变。当用户再次登录时，配置文件仍然和上次登录时一样。

用户配置文件的内容来源 在Windows 2000中，有两套相互独立的结构联合构成了用户的工作环境，它们分别是%SystemRoot%\Documents and Settings目录下的“All Users”（所有用户）目录和“Default User”（默认用户）目录。当用户第一次登录计算机时，通过对以上两种规范的结合，为该用户创建一个配置文件。尽管不同用户的配置文件会不相同，但所有用户在首次登录时，其配置文件是相同的

用户配置文件的内容来源 • All Users目录 “All Users”目录也可称为“所有用户”配置文件，它包含了通用程序组和桌面快捷方式。

用户配置文件的内容来源 通用程序组内的程序可供所有登录这台计算机的用户使用，也就是无论哪个用户登录时，其屏幕上都会有此程序组。通用程序组的作用是为工作站上的所有用户提供通用的访问特性。前提：每个用户必须具有使用这个应用程序的权限。

用户配置文件的内容 • Default User目录为某一个用户提供默认的访问特性，因此，它要比“All Users”目录包含更多的内容。

设置漫游配置文件 • 建立一个空的漫游配置文件

设置漫游配置文件 在上述步骤完成后，当用户登录时，就会自动在该路径建立一个空的漫游配置文件。当用户注销时，其所做的任何修改都会保存到此漫游配置文件中。以后，该用户就以此配置文件作为工作配置。注意： 1、如果用户使用漫游配置文件，在用户注销时，用户本地配置文件既保存在本地计算机上，又保存在用户配置文件路径中。

设置漫游配置文件 2、使用了漫游用户配置文件，无论用户在何处登录，只要服务器可用，就可以使用这个配置文件。 3、如果服务器不可用，系统将使用漫游用户配置文件在本地计算机上的缓存副本。如果用户以前没有在这台计算机上登录过，系统将创建新的本地用户配置文件。

建立一个预先设置好的漫游配置文件 到用户的工作站上利用administrator登录注销后以zhanghua 帐户登录，其工作环境与以liping 帐户登录的工作环境相同。用liping帐号登录

设置漫游配置文件 • 创建强制用户配置文件如果用户是使用服务器上的强制配置文件登录，在登录后仍然可以修改其工作环境，不过，这些修改不会被保存到服务器上去，而只能保存在本地计算机上的本地配置文件中。即:下次再使用服务器上的强制配置文件登录时使用的仍然是原来未修改的强制配置文件的设置，只有使用本地机上的本地配置文件登录，才能使用新的设置。

设置漫游配置文件 创建强制配置文件方法：将用户配置文件复制到服务器上，然后将这个用户配置文件中的NtUser的后缀.dat改为.man，这个用户配置文件就变成了强制配置文件。

定制默认用户配置文件 • 自定义单一计算机的默认用户配置文件

登录脚本 登录脚本(Logon Script)就是当用户登录时计算机自动执行的程序，它可以是扩展文件名为.BAT或.CMD的批处理文件，或是.EXE的可执行文件。登录脚本可以被看作网络上的AUTOEXEC.BAT文件。 • 登录脚本的作用使用登录脚本可以设置单个用户的环境，也可以对多个用户的环境进行统一化。可以将单个登录脚本赋给所有用户，或者给每个用户配置不同的登录脚本，也可以混合使用这两种策略。

登录脚本 使用登录脚本可以完成以下任务： (1) 用户登录到工作站时使用登录脚本可以自动运行MS-DOS的批处理文件、内部命令和可执行文件。 (2) 实现主目录（用户保存私有文件的目录）。 (3) 将在服务器上的用户账号中定义的参数拷贝到用户计算机的MS-DOS环境变量中，这些变量可以由登录脚本和可以使用这些变量的应用程序所使用。

登录脚本 • 登录脚本的执行用户登录时，系统从验证用户登录请求的计算机的保存登录脚本的目录中下载该脚本并执行之。验证用户登录请求的计算机通常是响应用户登录请求的第一个域控制器，要确保域内所有用户账号的登录脚本都能正常工作，系统管理员必须保证所有登录脚本与域内的每一个服务器保持同步。

登录脚本 • 登录脚本的设置用户登录时，如果用户账号中存在登录脚本路径，且存在此脚本文件，则系统运行该脚本，如果在“登录脚本”文本框中只输入文件名而无路径，则默认的路径为“%SystemRoot%\SCRIPTS”

主目录 主目录是用户的私人目录，用于保存用户私人的文件，这是在My Documents之外建立的另一个存储个人文档的目录。主目录的存储位置主目录的存储位置可以是在客户计算机的硬盘中，也可以是在Windows2000 Server的硬盘中，还可以是在主域控制器的硬盘中。但是，这个目录最好创建在服务器上，使得用户的文件能够在服务器上方便地进行备份。

主目录 可以把所有的主目录存储在一个文件服务器上。这样做的好处： 1）可以让在网络的任何客户机上使用同一主目录。 2）文档的备份和管理工作集中化。 3）运行任何Microsoft操作系统的客户计算机上都可以使用主目录。

主目录 • 创建主目录 • 在服务器上创建一个目录，并设置为共享。 • 设置共享目录的许可权限，使用户可以访问此目录。 • 单击“开始”→“程序”→“管理工具”→“Active directory用户和计算机”，出现管理窗口。 • 双击要为之设置主目录的用户名，系统显示出此用户属性的对话框。

主目录 5、单击“确定”按钮，设置完毕。 6、单击“配置文件”卡，在主目录的编辑框中选中“连接(C)”单选按钮，并输入服务器及主目录路径。

主目录 在 “我的文档”中，每一个用户都有一个专用的文件夹，这是在创建用户时建立的。用户可以改变它的位置。

使用组策略管理用户环境 • 什么是组策略？组策略是一种在用户或计算机集合上强制使用一些配置的设置方法。组策略设置定义了系统管理员需要管理的用户桌面环境的多种组件。例如: 用户登录后使用的程序，用户桌面上出现的程序快捷方式，以及“开始”菜单中的内容等。使用组策略单元，可以为特定的用户创建特定的桌面配置。

使用组策略管理用户环境 • 组策略的内容 • 用户配置：包含有影响用户环境的相关设置。 • 计算机配置：包含有网络中计算机的相关设定参数。

使用组策略管理用户环境 注意：组策略和用户配置文件的区别：用户配置文件：用来进行用户环境设置的，它允许用户自己进行更改，如桌面设置、我的文档和收藏夹等。组策略：由系统管理员管理和维护的，系统管理员按照组策略管理工具来对用户和计算机设置策略。

使用组策略管理用户环境 • Windows NT 4.0 与Windows 2000的策略比较在Windows NT 4.0 中，微软公司引入了系统策略编辑器工具。该工具允许网络管理员设定存储在Windows NT 注册表中的用户和计算机设置。系统策略设置其实就是注册表的设置，用来定义桌面环境中不同组件的功能。在Windows 2000中，可以通过使用组策略管理工具为特定的用户和计算机创建特定的桌面配置。

使用组策略管理用户环境 • Windows NT 4.0系统策略的局限性 • 策略文件为二进制文件，篇幅大，限制了可使用策略的范围。 • 当策略已在服务器上删除后，仍然会有一些信息残留在系统策略中，想要除去这些信息通常很困难。 • 系统策略仅可更新注册表。 • 系统策略仅可在一个文件内发布，使得管理员不能为特殊的用户群体建立专用策略。

组策略概述 组策略是为用户提供一种本地机和网络的运行环境，是用于定义用户享有使用各种权限的一种集合。

组策略概述 组策略通常是系统管理员为加强整个域或网络共同的策略而设置的，它会影响到用户账户、组、计算机和组织单元。组策略根据所影响的配置可分为以下几种策略类别： (1) 磁盘配额策略 (2) 加密文件系统恢复策略 (3) 安全策略

组策略概述 (4) 用户和计算机策略(注册表更新) (5) 文件夹重定向策略 (6) 登录/注销脚本 (7) 软件安装此外，组策略设置还定义了系统管理员需要管理的用户桌面环境的多种组件。掌握好组策略对于网络管理和维护意义重大。下面仅举两例来实证一下。

实例一 使用组策略禁止客户机上的应用程序

实例二 使用组策略禁止客户机改变TCP/IP设置和未使用过组策略的客户机上进行比较。

用户和计算机组策略的功能描述 • 组策略的存储用户和计算机组策略由在登录时发布至域的客户端注册表更新组成。这些更新存储在名为REGISTRY.POL的文件中。每个策略包含两个REGISTRY.POL文件，一个用于存放用户配置设置，另一个用于存放计算机配置设置。

用户和计算机组策略的功能描述 • 组策略对象的内容 ⑴ 应用程序配置组策略：分配和发布用户能够访问的应用程序。

用户和计算机组策略的功能描述 ⑵ 文件配置组策略：组策略管理员把文件放置在客户机的特殊文件夹中，如“开始”菜单或桌面上。 ⑶ 脚本组策略：在特定时间执行脚本或批处理文件的设置，如桌面外观、应用程序设置。 ⑷ 安全组策略：设置用户对文件夹和文件的使用及控制用户权限，即建立本地计算机、域及网络安全设置。

组策略对象 组策略是配置的集合，这些设置包含在组策略对象(GPO，Group Policy Object)内。组策略对象在两个位置存储组策略信息：组策略容器(GPC，Group Policy Container)和组策略模板(GPT，Group Policy Templete)。其中： ①组策略容器存储AD中，并提供版本信息。 ②组策略模板存储在域控制器的SYSVOL文件夹中。

组策略对象 组策略对象（GPO）简介组策略对象（GPO）是设置组策略的基础。在设置组策略之前，必须创建一个或多个组策略对象，然后通过组策略编辑器（Group Policy Editor）设置所创建的组策略对象。在Windows 2000中，用户首先创建一个GPO，然后对这个GPO进行配置。由于每个GPO包含的都是设置的集合，用户可以为每一个GPO指定不同的配置，使此GPO只影响所指定的计算机和用户。

组策略容器和组策略模板 • 组策略容器（GPC，Group Policy Container） GPC是包含组策略对象属性和版本信息的活动目录对象。由于GPC在活动目录中，所以计算机能够访问它来查找组策略模板，域控制器能够访问它来获取版本信息。一个域控制器使用版本信息来识别它是否有最新版本的组策略对象。如果域控制器没有最新版本，就会从拥有最新版本组策略的域控制器上进行复制。

组策略容器和组策略模板 每一个GPC都是由一个复杂的字符串命名的，它使用与其他的GPC不同的全局唯一标记（GUID）。

Windows 2000/XP网络组建与系统管理