示例:控制本地登录和访问网络资源
公司服务器FileServer是域的成员,为这些服务器单独创建了组织单元“服务器组”。从安全考虑不允许普通域用户登录到这些服务器,即不允许交互式登录。
服务器组的共享资源不允许“G_水环所学员”从网络访问共享资源。允许“G_卫生监督局学员”从网络访问共享文件夹。
任务:
u 修改链接在“服务器组”组织单元上的组策略
u 验证不允许登录
u 验证不允许访问服务器网络资源
步骤:
1. 如图3-143所示,在DCServer上打开组策略管理工具,右击“服务器组”组织单元链接的组策略“服务器安全策略”,点击“编辑”。
2. 如图3-144所示,在出现的组策略管理编辑器对话框,点中“计算机配置”à“策略”à“Windows设置”à“安全设置”à“本地策略”下的“用户权限分配”,在详细窗口,可以看到“允许在本地登录”设置。
图 3-143 编辑组策略 图 3-144 编辑用户权限分配
3. 如图3-145所示,双击“允许在本地登录”设置,在出现的允许在本地登录属性对话框,选中“定义这些策略设置”,点击“添加用户或组”。
4. 如图3-145所示,在出现的添加用户或组对话框,输入ess\Domain Admins点击“确定”。
5. 如图3-146所示,再次点击“添加用户或组”,在出现的添加用户或组对话框,输入administrators组,点击“确定”。
注意:administrators前没有写ess,则表明该组是特指域中计算机本地管理员组,不是域管理员组。
提示:必须添加Administrators组。
图 3-145 添加组 图 3-146 添加组
6. 如图3-147所示,添加完两个组administrators和ess\domain Admins组,点击“确定”。
7. 如图3-148所示,双击详细窗口中“从网络访问此计算机”,在出现的从网络访问此计算机属性对话框,选中“定义这些策略设置”,点击“添加用户或组”。
8. 如图3-148所示,在出现的添加用户或组对话框,输入ess\G_卫生监督局学员,点击“确定”。
图 3-147 添加的两个组 图 3-148 添加组
9. 如图3-149所示,添加完成后,点击“确定”。
10. 如图3-150所示,再出现的确认设置更改对话框,点击“是”。组策略编辑完成后,关闭组策略管理编辑器。
提示:必须关闭,相当于将刚才的配置存盘,如果出于编辑状态,则域中的计算机刷新组策略应用不到新设置。
图 3-149 添加组 图 3-150 提示
11. 如图3-151所示,在FileServer上,输入gpupdate /force刷新组策略。
12. 如图3-152所示,切换用户,以刘国瑞登录。该用户是域中的普通用户。
图 3-151 刷新组策略 图 3-152 登录
13. 如图3-153所示,出现提示:您无法登录,因为您使用的登录方法在此计算机上不被允许。
14. 如图3-154所示,点击“确定”,点击“切换用户”,点击“其他用户”。
图 3-153 不允许交互式登录 图 3-154 切换用户
15. 如图3-155所示,输入域管理员帐户和密码,点击“”登录。
16. 如图3-156所示,可以看到域管理员能够登录成功。
图 3-155 以域管理员登录 图 3-156 允许管理员组的用户登录
17. 如图3-157所示,在DCServer上,打开Active Directory用户和计算机管理工具,双击卫生监督局组织单元中的“G_卫生监督局学员”。
18. 如图3-157所示,在出现的G_卫生监督局学院属性对话框,在成员标签下,可以看到该组的成员。以下步骤将会使用杜立静验证从网络访问FileServer。
19. 如图3-158所示,点中“水环所”组织单元,在详细窗口可以看到水环所的用户“张晓璐”,该用户不属于“G_卫生监督局学员”组。
图 3-157 查看组成员 图 3-158 查看组织单元中的用户
20. 如图3-159所示,使用张晓璐在marketPC1上登录。
21. 如图3-160所示,登录后访问fileserver共享资源,出现无法访问提示:登录失败:未授予用户在此计算机上的请求登录类型,点击“确定”。
图 3-159 登录 图 3-160 不允许访问服务器网络资源
22. 如图3-161所示,在marketPC1上使用刘国瑞登录。
23. 如图3-162所示,访问FileServer上的共享资源,成功。达到了组策略设置预期目的。
图 3-161 登录 图 3-162 能够访问网络资源
本文转自 onesthan 51CTO博客,原文链接:/91xueit/1133991,如需转载请自行联系原作者