WINDOWS網域管理李忠憲 960213第二次增補 前言先解釋一下「網域」：Windows 網路中「網域」一詞和 DNS 裡面的「領域」，還有 IP Class 裡面的「網路」，三者因為名詞接近，而常常被等同視之，造成許多誤解和觀念混淆。Windows 網路中的「網域」，是指一群電腦透過一台或多台伺服器進行帳號整合和權限控制的集中管理，其成員電腦是否在同一個 Class C 並不重要，也就是說 windows 網域的涵蓋範圍與 IP Class 的網路範圍並不等價。至於 DNS 中的領域只是用來作 URL 與 IP 的對應，同一個領域裡的電腦，其 IP 並不一定在同一個 Class 中，也不一定要加入同一個 windows 網域。這三種名稱接近的機制，基本上是獨立運作的。 Win200x 雖然源自於 NT，但是由於網域觀念的改變幅度太大，兩種網域並無法融合的很好，如果純以 Win200x 來架構網路，當然更能發揮 Win200x 在網路機制上的嶄新功能。但是考慮企業現有NT應用程式開發與相容性問題，大多企業還是希望採行混合網域的建置。使用混合網域之前，我們先來暸解一下，到底採用純 Win200x 架構有什麼好處？
Active DirectoryWin200x 採用 AD 來進行網域管理的工作，其中改革幅度最大的是帳號管理和電腦管理的機制。 帳號管理 過去帳號管理依靠 SAM 資料庫，必須透過所謂「Windows 挑戰與回應」(WCHAR)這種獨門的通訊協定來進行使用者認證，由於這個機制太特殊，微軟又不願公開內容，導致不同平台之間的整合有困難，並且也使得WinNT無法支援其它的網路設備的認證。 同時由於 WCHAR 採用 DES（修改過的 MD4）來進行編密，密碼可以透過解碼程式還原，如果和 Linux 上採用的 MD5 編密法來比較，由於 MD5 無法被還原，在安全性上比 winNT 網域還要好。 新的帳號管理是將 SAM 資料庫當後端，以 LDAP 通訊協定當前端提供帳號認證功能，當使用者登入網域時，就使用 Kerberos 通訊協定來傳遞密碼，密碼則改用安全性較高的 MD5 演算法來編密，其結構如下圖：
LDAP 是衍生自 DAP 的輕型通訊協定，以 TCP/IP 來實作，許多比較複雜的資料庫操作並沒有被包含在內，原因就在於 TCP 不適合作重型傳輸，而 UDP 又不適合作資料庫動態交易。無論如何LDAP 拿來作目錄服務、帳號管理是相當合適的。LDAP 的原始精神在於契合 DNS 領域的觀念，希望發展出人類的URL定址，有點像 http://www. 是一個站台，而 ldap:///o=Taipei Edu-Network Center,c=tw??sub?(cn=李忠憲) 是一個人，換句話說，LDAP也可以當成人名錄來作查詢（outlook系列已經支援 LDAP 人員搜尋）。 LDAP 的原始設計裡面，分為幾個階層式架構，c 代表地域，o 代表組織，而 o 裡面的物件 person 和 group 分別代表個人和群組，這種設計當然與 Win200x 裡面的AD稍有不同，Win200x 為了管理上的需求，以 dc 階層取代了 c 階層，以 ou 階層取代 o 階層。 dc 階層就是指 win200x 網域的管轄範圍，對跨國企業來說，它已經超越了 c 階層的地域觀念，想像一下台灣的宏碁與美國的宏碁屬於同一個 dc 的情形，要理解 dc 階層的概念並不難。 其實就是因為 LDAP 高彈性的作法，讓 Win200x 的群組管理顯得複雜起來，不過只要把觀念弄清楚，其實也很簡單。關鍵在於 ou 階層是所謂「行政的群組」，而 group 是所謂「權限的群組」，這就好比「業務部」的陳「經理」和「研發部」的王「經理」是好朋友，「業務部」、「研發部」是ou，而「經理」是group。在 LDAP 原始設計中，o(ou) 和 group 是兩種獨立的觀念，但在AD 裡面兩者都可以被賦予原則，有許多人就在這種情形下弄擰了觀念。 使用 LDAP 除了讓帳號管理更具彈性以外，另一個好處是可以使用公開的 LDAP API 來撰寫應用程式，使應用程式與網域使用者能更緊密的結合。由於資料欄位可以自由擴充，企業可以依自己的需要開發出人事管理系統，而該人事資料又自動成為企業內各種網路設備的成員帳號。並且由於 LDAP API 的標準是公開的，因此不管由哪家廠商來開發都可以彼此相容！ 電腦管理 電腦管理的問題可以分成兩方面來探討，一是電腦名稱辨識的問題，一是網域成員認證的問題。過去 winNT 的電腦名稱是以 NetBios 名稱來實作，這就造成廣播風暴問題和無法跨越 Router 問題，雖然微軟已經將 NetBios 名稱服務封裝成 TCP/IP 格式的 NetBT，但這只解決了跨越 Router 問題，廣播的問題仍然存在。 微軟後來開發的 WINS 伺服器雖然可以有效降低廣播風暴的發生，但仍然不能徹底解決頻寬被佔用的老問題，造成使用者與網管師相當程度的困擾。在 Win200x 中由於網路機制改採 TCP/IP 來實作，所以這種落伍的名稱服務已然被淘汰（相容前版模式例外），於是 DNS 就成為電腦名稱辨識的不二人選。 在 Win200x 網域內的所有成員電腦，其名稱一律沿襲 DNS 命名法，如果安裝時選擇與舊 Windows 網路相容，那麼就會將 DNS 命名的頭碼當成 NetBios 名稱。DNS 名稱會寫入 SAM 資料庫中保管，以便備份和移轉。 那麼 Win200x 又如何來辨識某電腦是否為網域成員呢？當某台工作站要求加入到網域內作為成員時，會透過 DNS 伺服器中的 SRV 紀錄找到網域主控站，網域主控站會為這台工作站建立一個電腦帳號（在 windows 網域中帳號區分為使用者帳號、電腦帳號和服務帳號三種），並產生 SID，然後由金鑰配發中心（KDC），配發憑證（金鑰），SID 及憑證會儲存於網域成員電腦的系統登錄裡面，像這樣經過網域主控站認證的電腦，我們可以將它稱為「可信任電腦」。 由於過去大家對於網域成員的認證都很忽視，例如 WinNT 也僅只對網域成員進行單向認證，所以常發生安全漏洞被駭客利用。為了改善此問題，在 Win200x 中採用 Kerberos 5 來進行雙向認證，在使用者登入前，伺服器與工作站先交換金鑰，並向 KDC 查驗是否正確，網域主控站可藉此來決定該使用者是否有權登入該主機，如果發現該使用者有登入權限，接著再以 LDAP 向 AD 查驗帳號密碼。安全性相對比起 NT 來的高許多，並且由於 Kerberos 和 LDAP 是 TCP/IP 上面的標準，所有其他平台如Solaris、Linux、FreeBSD......等等都可以透過 Win200x 帳號來進行登入。
與前版網域相容模式 在 Win200x 網域主控站安裝時，如果選擇「與Windows 2000前版網域相容」選項，裝完AD之後，就可以使用「AD網域與信任」管理工具，來建立與舊有 NT 網域之雙向信任，就可以讓擁有 NT 網域帳號的使用者分享 200x 網域的資源。 採用與前版網域相容模式，除了可以整合舊有 NT 網域外，還支援 NBT 通訊協定及 WCHAR 認證方式，讓 win9x 可以直接登入「與前版相容的 Win200x 網域」，但是因為 Win98 缺乏 Kerberos 用戶端程式會被 Win200x 當成未授權使用者，不但無法享有 Win200x 所帶來的各種安全性措施，而且為了讓 Win98 得以存取 200x 網域分享的資源，許多 Win200x 伺服器上的安全原則都必須撤離，這使得 200x 網域只能當成陽春的 NT 網域來使用。 想要升級成原始模式，首先必須衡量以下的條件：
滿足上述條件後，始可將 DC 由相容模式變更為原始模式，但要記住一旦變更為原始模式就無法再還原了！ 網域主控站 在 Win200x 網域中負責管理帳號和權限的機器稱為 DC，DC 儲存了使用者帳戶、群組、印表機….等物件的資料，DC 與 DC 之間可以透過 LDAP 彼此交換資料以達到帳號同步的目的。為了預防 DC 故障造成網域崩潰，最好是在組織網域的初期就建置冗餘的 DC，以備不時之需。 ※在WIN_NT4.0中，一個網域之中必須存有一台 PDC， 網域間的信任是單向，且不具遞移性，而網域的帳戶資料儲存於 PDC 的 SAM 資料庫中，容量最多 40MB。 當一個機構中的電腦分屬於不同的網域時，也就是說一個機構中具有多網域時，此刻就有信任上的問題，若根網域甲的 Domain name 為 test.，而乙是為甲的子網域，Domain name 為 class.test.，丙為為甲的子網域，Domain name 為 lib.test.。三者之間具信任關係。因為 Win200x 網域之間的信任是雙向的並具遞移性，也就是說當甲與丙互相信任，甲與乙互相信任，那麼乙和丙也會互相信任。故使用者的帳號是可以開在甲、乙或丙任何一個之中皆可。 網域本身就是一個管理單位，所以將一個學校中的網域數量降到愈少愈好，如此管理上就會比較簡單。第一個建立的網域是根網域，根網域的建立時必需建立在 DNS 的基礎之上，因為 微軟公司修改了 DNS 架構新增 SRV 紀錄類型，使得網域成員可以透過 DNS 中的 SRV 紀錄查詢 AD，因此安裝 AD 時將會要求 DNS 的位址，以便建立 SRV 紀錄。其餘再建立的網域皆為子網域，而形成一個網域樹。二個以上網域樹彼此在根網域上做了彼此的信任後，則形成 Forest，原則上一個學校中最多規劃成一個 Forest 即可。 安裝 AD 安裝AD方式如下：下列二法中擇一來做
AD目錄服務安裝過程 步驟一、從『開始』功能表打開『執行』，輸入’dcpromo ’的指令之後按『確定』 ﹝如下圖﹞。
步驟二、出現 Active Directory 安裝精靈的畫面，按『下一步』。
步驟三、選擇此台 DC 在網域中所扮演的角色，若此台是您網域中的第一台 DC 請點選『新網域的網域控制站』，並按下一步。
步驟四、若這是您的第一個網域﹝也就是說不是某個現存網域的子網域﹞，請點選『建立新的網域樹狀目錄』，並按下一步。
步驟五、若這是您的第一個網域，請點選『建立新的網域樹狀目錄的新樹系』，並按下一步。
步驟六、輸入您網域的完整 DNS 名稱，並按下一步。
步驟七、輸入新網域的 NetBIOS 名稱，並按下一步。
步驟八、設定將來 AD 資料庫及紀錄檔存放的位置（建議和系統放在不同硬碟上，可以增加效率），並按下一步。
步驟九、設定 Sysvol 資料夾的位置，並按下一步。
步驟十、如果您要在本機上安裝了 DNS 請選擇『是，在這部電腦上安裝並設定 DNS』，並按下一步。
步驟十一、如果您不是在純 Win200x 環境中，請選擇上面的選項，並按下一步。
步驟十二、輸入目錄還原模式的密碼，並按下一步。
步驟十三、檢查你選取的項目，若無錯誤請按下一步。
步驟十四、AD目錄服務正在設定中。
步驟十五、按下『完成』。
步驟十六、必須重新啟動電腦。
綜合以上所言，裝 AD 的要點如下：
使用者管理使用者帳號（User Account）的種類約可以分做兩類： 第一類為本機使用者帳戶（Local User Account）：只能在單機使用的帳號，這個帳號無法用來登入其他電腦，除非是網域中有一帳號和密碼和本機使用者相同。
第二類為網域使用者帳戶（Domain User Account）：為建立在網域控制器伺服器 (DC) 的帳號，可以用來登入網域中的可信任電腦，並可存取網域中的資源（共享檔案、印表機......等)，當然我們可以在 DC 上設定哪些電腦允許哪些帳號登入，哪些共享資源允許哪些帳號使用，這就是後面會專題探討的「權限管理」機制。
當然作比較結構化的管理，可以先建立一些不同的組織，以利你的管理和區別；因為未規劃所建的使用者會 放在Users中和其他預設帳號混在一起會比較亂，所以我們必須建組織單位(OU)來作歸納分類。亦即將李小華放入石牌國小的老師中，這樣在未來做權限管理才會方便 但對上述李小華也可以將其歸類回石牌國小的老師中，亦即在李小華上按右鍵移動至石牌國小的老師。 建組織單位可以先分類歸納好，如： 行政處室、教師(一年級、二年級、三年級、四年級、五年級、六年級)、實習教師......等。
WIN2000大量帳號方法 大量建帳號方法有下列三種 1. 使用 NET USER 指令 語法如下： NET USER [username [password | *] [options] [/DOMAIN] username {password |*} /ADD [options] [/DOMAIN] username [/DELETE] [/DOMAIN] 根據上述語法，我們可以建立下列一個account.bat的批次檔，內容如下： net user hjhon 10001 /add ※此檔可以配合由 Excel 產生，方便建連續性的帳號。 其執行結果狀況如下：
其所建的帳號皆會在users之中，其結果如下：
2. 使用自行設計的 VBS 程式： CreateOU.vbs
CreateUsers.vbs
Account.mdb內容如下：
磁碟配額管理 在伺服器上的磁碟空間是有限的，尤其是當我們將伺服器上的硬碟提供給老師或其他使用者儲放資料時，硬碟的空間監管是件十分重要的事情， 無論是硬碟的儲放空間所剩多少或進出伺服器的安全監管皆是十分重要；因為硬碟的儲放空間剩的太少會造成許多的問題，諸如：服務會被停用、虛擬記憶體太低、IO太頻繁...等，尤其當硬碟空間大幅減少時，要檢查是否為駭客或病毒入侵，大肆破壞了伺服器，造成無法挽救的遺憾。因此監視伺服器的硬碟中個別目錄的成長狀況是件十分重要之事，畢竟了解到硬碟空間成長的狀況，可以在發生意外狀況之前，防範於未然。 若是要提供老師或其他使用者儲放資料在伺服器上時，Win200x 的磁碟配額是一件必要的實用安全的優質管理，不過 Win200x 的磁碟配額管理只能用 NTFS 的磁碟檔案系統，其並不支援 FAT32 和 FAT 磁碟檔案系統； 磁碟配額最棒之處是能限制使用者可以儲放資料的使用硬碟空間，限制其修改或複製檔案的能力範圍，降低使用者大量使用磁碟，造成系統遭到破壞的機率，且系統管理人員可依實況有效調節使用者使用磁碟的空間，不致於浪費且可以將資源有效的整合。 磁碟配額使用方法如下： 第一步將提供老師或使用者使用的硬碟(最好是外掛一個硬碟，即使是 IDE 硬碟也沒關係)，按滑鼠右鍵點選內容。
第二步在配額的選項勾選啟用配額管理和拒絕將磁碟空間給超過配額限制的使用者。並限制每個使用者的使用硬碟空間為多少，並於將超過使用磁碟空間範圍時提出警告。(每個人磁碟空間限制先設少一點空間可使用，再慢慢放寬多一點空間；本校磁碟空間使用預估法為：硬碟空間／（學校老師數／２）)
第三步在第二步時點選配額項目時就可以發現每個老師或使用者使用硬碟的空間狀況為何？
第四步若有使用者因公務或教學需求上的需要更多更大的硬碟空間時，則點選單一使用者來放寬其硬碟的空間限制。
權限管理一、群組觀念 對於使用者的權限管理設定，我們通常會將使用者先歸類為群組後，在將其做權限控管。 win200x 的網域可分為兩大類型 混合模式(Mix Mode) ：混合模式指網域中包含 Win200x、WinNT...等機器
原始模式(Native Mode)：原始模式指網域中只有 Win200x 或 xp 機器
群組的權限 新增群組的方法，在單位組織上按右鍵→新增→群組 由上表來看群組領域分為三類
群組類型：
二、權限指派 委派控制： 選擇一個組織單位，按滑鼠右鍵，並選擇出現的快顯功能表上的委派控制。
新增使用者或群組以做控管權限
基本的資料夾權限管理 1.點資料夾按右鍵，先將資料夾→共用(共用此資料夾，給予共用名稱)→使用者人數限制(允許最大數或限制為多少人數)→給予權限(完全控制、變更、讀取)→授予群組或使用者。
若要比較詳細的權限則由安全性中去設定，進階中可以就更加詳細去設定。
災難處理做一個網管人員最怕的是自己所管理的SERVER當掉，或者是無法開機；而自己的資料又沒有備份的話。此時此刻真是要呼天搶地，企求奇蹟了。因此，我們必須於平時做好下列工作，以防意外狀況的發生：
一般而言，修復WINDOWS 2000的方法有兩種： 一、是緊急修復 WINDOWS 2000 安裝 此法，我們必須具備需要WINDOWS 2000 系統開機磁片則可以使用下列方法自行去產生；可以在WINDOWS 2000安裝光碟中[BOOTDISK]資料夾中，執行[MAKEBT32]程式，再依序放入產生4張空白磁片於A碟中，便能快速依序建好開機片。
另外，建立緊急修復磁片也是件刻不容緩之事，執行[開始→程式集→附屬應用程式→系統工具→備份]功能，來執行備份程式；在此我們可以快速建立緊急修復磁片。
假如在建立緊急修復磁片時，勾選了[同時也將登錄檔案備份到修復目錄....]，則在建立緊急修復磁片時，也會將目前登錄在C:\WINNT\repair\RegBACK資料夾內的檔案在建立一份備份到磁片中。
若勾選了［同時也將登錄檔案備份到修復目錄...］核取項，則在建立緊急修復磁片時，會將目前的登錄在 C:\WINNT\repair\RegBack 資料夾內再建立一個備份。換言之，緊急修復磁片內的檔案，就在 C:\WINNT\repair 資料夾之中。
WINDOWS 2000 的系統緊急修復磁片中，儲存了系統檔案與設定資訊。為確保建立的系統緊急修復磁片可以有效修復毀損的系統，必須時時保持系統緊急修復磁片的最新，故一旦系統設定做了重大的變更時，必須立即建立新的系統緊急修復磁片。 緊急修復 WINDOWS 2000 ，一般有所謂手動修復或快速修復，二者的差異僅在手動修復上，一切的恢復設定(系統檔案、磁碟分割開機磁區或啟動環境)皆由系統管理員自行決定，而快速修復則由電腦自動執行而已；操作方法概略如下：啟動電腦→在歡迎使用安裝程式時，按 R 選修復 WINDOWS 2000 → 在此選 M (手動修復) 或 F (快速修復) → 放入緊急修復磁片，按ENTER(按L去找安裝光碟或 WINDOWS 2000 的位置，通常是無效的)。 二、是使用修復控制台修復WINDOWS 2000 一般而言，硬碟無法開機是因為開機磁區資料遺失或毀損，windows 2000 在此方面是有辦法的---也就是「修復主控台工具」。其修復的動作程序如下：
**將修復主控台安裝置開機選單中，將可以不必透過光碟機開機來修復，
加強學校系統安全管理的日常工作 當架設好WINDOWS 2000後，應於日常做下列安全的檢查工作：
系統原則與桌面管理win9x 系統原則 win9x 系列因為使用 FAT 檔案系統，檔案上無法依據使用者的不同設定不同權限，因此系統原則程式如果放在硬碟上則任何人都可以讀取執行，由於這個緣故 poledit 程式是收錄在光碟上，使用時最好是用磁片執行不要存入硬碟中。底下範例是為了上課方便從硬碟執行，實作時不應該如此。 1.Poledit程式位置乃在於win98光碟中的資料夾中(tools→reskit→netadmin→poledit)。 2.將poledit資料夾複製在win98機器中，去執行poledit.exe程式，設定系統原則。
依微軟的指示，poledit系統原則編輯的做法如下 建立新的原則檔
本機使用者的限制
本機電腦的限制
3 要設定使用者、群組或電腦的原則時，請按要設定原則的圖示，再選「編輯」功能表的「內容」。按兩下書籍圖示，查看可以使用的設定值。 設定從 Windows NT或Windows 2000機器自動下載
Ｗin98/XP 系統登錄組態設定 windows的機碼有六大類：
系統登錄檔的使用 1.系統登錄檔的檢查員：scanregw.exe (win98下執行) 2.系統登錄檔的備份與還原：scanreg /backup 和 scanreg /restore (dos下執行) 3.系統登錄檔的修復：scanreg /fix 3.工作站自動設定IE組態(以proxy和cache大小為例)
下面是一個 reg 檔的範例，用於限制網頁首頁、proxy server、桌面...等項目，適用於WINXP和WIN98 的 Client 端使用。 Windows Registry Editor Version 5.00 [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] 底下範例將瀏覽器「檢查儲存的畫面是否有較新的版本」，改為「每次查閱時」 ： [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] 底下範例將啟用代理器，Proxy Server 為教育部 proxy.moe.edu.tw:3128，並將校內網段排除不透過 Proxy 連線 ： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 底下範例將網頁暫存空間 Temporary Internet file 設定為 5MB： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\Content] [HKEY_CURRENT_USER\Control Panel\Desktop] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
ＷinXP 本機安全性原則 winXP 採用 NTFS 檔案系統，因此可以作精緻的權限設定，系統管理工具直接安裝於硬碟上，但只有 administrator 可以執行。 1. 從「控制台」->「系統管理工具」，打開「本機安全性原則」
2. 限制一般使用者無法變更時間。依據 kerbros 認證的運作機制，工作站時間若與 DC 時間差異達兩個小時以上，將會無法登入主機。
3. 設定成不要顯示上次登入的使用者名稱，以免帳號被收集利用。
4. 停用 Guest 帳號，以避免未被授權的使用者進入系統。
5. 在 XP 預設的情況下，允許使用者連線到網路磁碟機時，將登入的帳號密碼儲存起來，下次再連線時將不會再詢問帳號密碼，這個功能一旦開啟，其它的使用者將無法以自己的權限來操作網路磁碟機。
ＷinXP 安全性設定與分析 winXP 的安全性有三種不同機制進行管理，一是本機安全性原則，前面已經介紹過了，它是 poledit.exe 的強化版，在 winXP 裡另外提供一個 secedit.exe 可以結合登入指令稿來作動態設定。第二種機制稱為安全性設定與分析，它提供比本機安全性原則更詳細的設定選項，同時可以將設定儲存成安全性資料庫，該資料庫可於本機運作，或是上傳到 DC 上作為群組原則範本，後者的好處是網域內符合該群組的電腦都會自動套用同一設定。三是群組原則，群組原則原始設計為透過 AD 管理，在網域成員登入時自動套用到工作站上。然而這個部分僅能針對網域使用者進行管理，由於 winXP 上有所謂的本機使用者，如果校內同仁或小朋友是使用本機帳號登入，將不會受到任何限制，因此在 winXP 上另外設計了能管理本機使用者的群組原則管理程式。 1. 在開始工作列上按「開始->「執行」，輸入指令 mmc
2. 主控台視窗出現後，按「檔案」->「新增/移除嵌入式管理單元」
3. 請新增「安全性設定及分析」管理單元
4. 在管理單元上按右鍵選「開啟資料庫」->輸入資料庫檔名（自行命名）
5. 資料庫建好後，在管理單元上按右鍵選「立即分析電腦」
6. 設定方式如本機安群性原則，不再累述。完成後請按右鍵選「立即設定電腦」
ＷinXP 本機群組原則 1. 使用主控台新增嵌入式管理單元，單元名稱為「群組原則」 2. 下圖的設定內容其實就是前面介紹過的本機安全性原則，設定方式請參考前面的章節
3. 選取「使用者設定」->「系統管理範本」->「windows元件」->「Internet explorer」可以針對 IE 進行細節設定，其中「不容許使用自動完成來儲存密碼」，建議要啟用。這樣在網頁需要登入的場合，才不會出現「儲存密碼」的核取框。
AD 群組原則(GPO) Win200x 群組原則是 Win200x 或 WinXP 使用者工作環境的管理工具之一，提供比本機電腦設定有更完整的控制選項與更廣泛的套用對象，以減低網路管理的負擔與成本。 Win200x 群組原則包含對電腦機器或使用者兩個部分：
群組原則可以對站台 (Site)、網域 (domain)或組織單位OU（Organization Unit）等物件設定群組原則，而資料存放在 Active Directory（%systemroot%\sysvol\”DomainName”\Policies）中。 可以針對每台電腦作 local group policy，該原則設定會 apply 至本台電腦及 local users，而資料存放於〈%systemroot%\system32\GroupPolicy〉的資料夾內。 在預設情況下，下層的GPO會覆蓋上層的GPO，其套用順序為本機GPO（即本機安全性原則）→Site→Domain→OU，同個物件若有多個GPO而相衝突時，以排列在前面者優先。 一般情況下，子層會繼承父層的已設定原則（尚未設定原則不繼承），另外有特殊情況：
群組原則建立方法： 【開始】／【程式集】／【系統管理工具】／【Active Directory使用者與電腦】／【網域名稱（右鍵）】／【內容】／【群組原則】／新增一個群組原則或編輯 Default Domain Policy 的內容。
ＷinXP 桌面管理 winXP 由於使用 NTFS 檔案系統，能有效針對不同等級使用者設定詳細的權限，因此以往在 win9x上無法可管的桌面圖示和開始功能表，現在也可以進行管理，示範如下：
7. 用以上方式管理學生機，唯一能自由執行程式的方法，是從 IE 暫存檔資料夾執行程式，由於該資料夾無法設定安全性，所以會留下這個漏洞。但無論如何，學生的桌面這樣管理還算妥善！
登入指令稿Login Script一般我們稱為使用者登錄檔，使用記事本建立好自動批次檔後，放入 NETLOGON 中，然後在 AD 中使用者設定檔的位置，給予檔名(如：path.bat)，以便使用者登入時執行之。 @echo off 常用系統變數：
Win2000 以後的版本已經改用 VBS 來撰寫 login script，但仍然支援批次檔執行的方式。底下是 VBS 版本的登入稿： Set net = CreateObject("WScript.Network") 紅字部分，請依各校之需求自行修改，程式解說如下：
|
|
|
