组策略基础篇

组策略的概念：

组策略是一个能够让管理员充分管理用户工作环境的技术。通过它可以让用户拥有与权限相符的工作环境。通过它可以减轻系统管理员的工作负担

组策略的功能：

· 账户策略的设置

· 本地策略的设置

· 脚本的设置

· 用户的工作环境的设置

· 软件的安装与删除

· 限制软件运行

· 文件夹的重定向

· 限制访问可移动设备

· 安全设置（如密码策略、管理模板下相关设置等）4)基于注册表的设置（管理模板）

· IE维护

· 文件夹重定向

· 计算机和用户脚本

简述客户端计算机处理组策略流程:

简单的说，客户机应用组策略的流程有以下几个步骤：

1：客户机启动，执行本地安全策略。

2：客户机连接到网络，查询DC获取要应用的GPO列表。

3：客户机根据GPO列表连接到Sysvol文件夹定位对应的组策略模板。

4：客户机根据组策略模板中信息执行相应的操作(默认client具有读取和应用的权限)。

5：计算机策略执行完成后，出现登录界面，用户登录。

6：用户验证通过后，用户查询DC获取要应用的GPO列表。

客户机如何获取应用的GPO列表

DC启动时，会向DNS宣告自己的角色，DNS服务器接受宣告后，更新DNS数据库中DC对应的资源记录。客户机登录时会联系DNS服务器，寻找适当的DC进行身份验证。验证通过后，DC告诉客户机所属的站点信息，域信息，以及OU信息。客户机获取到这些信息后，就可以查询到正确的GPO列表。之所以拥有站点，域，OU信息后就可以获取GPO列表信息，主要是因为站点，域和OU对象的gPlink属性中保存有GPO链接信息。获取GPO列表的顺序是从所属OU往上查找每一层存在的GPO对象，直至域级。然后再查找站点所链接的GPO对象，生成完整的GPO列表。

客户机如何正确处理每个组策略设置

客户机根据GPO列表，查找到对应的组策略模板信息，通过比较缓存的GPO版本号与GPT中版本号，确定该组策略是否已经更新，如果组策略已经更新，下载GPT文件，并执行相应的操作和设置。客户机之所以可以正确执行组策略指令集，是由于在客户机系统中有客户端扩展的存在。在Windows系统共有11种功能可以由组策略来管理，每个功能都有一个相应的服务在客户端运行，服务负责处理相应的组策略。

这些服务称之为CSE(客户端扩展)，每个CSE都作为动态链接库dll的方式存在，在客户机启动时，由winlogon服务动态加载。