如何限制用戶對(duì)本地組策略的訪問(wèn)？
組策略對(duì)于系統(tǒng)管理員來(lái)說(shuō)至關(guān)重要，管理員可以使用組策略而輕松的修改注冊(cè)表，如何限制用戶對(duì)本地組策略的訪問(wèn)呢？下文給出了詳細(xì)的描述。
作為系統(tǒng)管理員的一個(gè)高級(jí)設(shè)置工具，組策略包含了系統(tǒng)各個(gè)方面的設(shè)置策略，不僅能增強(qiáng)系統(tǒng)的安全性，同時(shí)也可以使系統(tǒng)更有個(gè)性。通過(guò)組策略對(duì)系統(tǒng)進(jìn)行的設(shè)置，其優(yōu)先級(jí)別要高于通過(guò)控制面板進(jìn)行的設(shè)置，并且這種設(shè)置往往帶有一定的強(qiáng)制性。正是由于組策略的這種特點(diǎn)，對(duì)于管理員來(lái)講，通過(guò)組策略對(duì)系統(tǒng)進(jìn)行的設(shè)置并不希望其他用戶進(jìn)行更改，這就會(huì)涉及到組策略對(duì)象使用權(quán)限的問(wèn)題?！ ?/p>
在Windows XP系統(tǒng)中，對(duì)于本地計(jì)算機(jī)的組策略對(duì)象，用戶擁有的權(quán)限是根據(jù)用戶的賬戶類型來(lái)決定的，隸屬于administrators組中的管理員賬戶具有對(duì)組策略對(duì)象的完全控制權(quán)限，隸屬于users組中的受限用戶不能訪問(wèn)本地組策略。由于XP系統(tǒng)沒(méi)有提供對(duì)本地組策略對(duì)象權(quán)限分配的機(jī)制，因此對(duì)于administrators組中的所有賬戶，包括系統(tǒng)內(nèi)建的administrator用戶，對(duì)本地組策略對(duì)象的權(quán)限都是一樣的，每個(gè)用戶都可以訪問(wèn)本地組策略，并對(duì)其他用戶設(shè)置的系統(tǒng)策略進(jìn)行更改。這樣可能會(huì)造成系統(tǒng)設(shè)置的混亂，那么能不能通過(guò)其他的途徑實(shí)現(xiàn)只有administrator擁有訪問(wèn)并更改本地組策略的權(quán)限，而限制其他的administrators組成員對(duì)本地組策略的訪問(wèn)呢？
本地組策略對(duì)象保存在\windows\system32下的隱藏文件夾“GroupPolicy”中，如果XP系統(tǒng)所在的分區(qū)文件系統(tǒng)為NTFS格式，借助于NTFS文件系統(tǒng)提供的文件和文件夾安全特性，通過(guò)限制用戶對(duì)該文件夾訪問(wèn)的權(quán)限，就可以輕松實(shí)現(xiàn)限制用戶對(duì)本地組策略的訪問(wèn)?！ ?/p>
設(shè)置文件夾“GroupPolicy”訪問(wèn)權(quán)限的方法如下：
步驟一 以administrator用戶登錄系統(tǒng)，打開(kāi)“我的電腦”，點(diǎn)擊窗口菜單“工具”中的“文件夾選項(xiàng)”，點(diǎn)擊“查看”選項(xiàng)頁(yè)，在“高級(jí)設(shè)置”列表中，選擇“隱藏文件和文件夾”下的“顯示所有文件和文件夾”選項(xiàng)，點(diǎn)擊“確定”；
步驟二 打開(kāi)\windows\system32文件夾，定位隱藏文件夾“GroupPolicy”，單擊右鍵，選擇“屬性”;
步驟三 點(diǎn)擊“安全”選項(xiàng)頁(yè)，選擇“高級(jí)”，取消“從父項(xiàng)繼承那些可以應(yīng)用到子對(duì)象的權(quán)限項(xiàng)目，包括那些在此明確定義的項(xiàng)目”復(fù)選框的選擇；
步驟四 在彈出的信息窗口中點(diǎn)擊“刪除”按鈕，此時(shí)“權(quán)限項(xiàng)目”列表被清空，如圖1所示；
步驟五 點(diǎn)擊“添加”｜“高級(jí)”｜“立即查找”，在窗口下方的列表中選擇“administrator”用戶，點(diǎn)擊“確定”返回上一級(jí)窗口，再點(diǎn)擊“確定”；
步驟六 在“GroupPolicy的權(quán)限項(xiàng)目”窗口中，點(diǎn)擊“權(quán)限”列表中“允許”列的“完全控制”選擇框，再點(diǎn)擊“確定”，如圖2所示；
步驟七 點(diǎn)擊“確定”，此時(shí)可以看到只有administrator一個(gè)用戶對(duì)文件夾“GroupPolicy”具有完全控制的權(quán)限，如圖3所示。點(diǎn)擊“確定”，完成權(quán)限的設(shè)置。
對(duì)“GroupPolicy”文件夾完成了權(quán)限設(shè)置后，用戶只有以administrator賬戶登錄系統(tǒng)才能訪問(wèn)本地組策略對(duì)象，并對(duì)策略進(jìn)行設(shè)置和更改。其他的administrators組中的成員登錄系統(tǒng)后，無(wú)論是通過(guò)運(yùn)行mmc命令，啟動(dòng)控制臺(tái)加載“組策略”管理單元，還是運(yùn)行g(shù)pedit.msc啟動(dòng)組策略編輯器，系統(tǒng)都會(huì)顯示如圖4所示的錯(cuò)誤信息。
采取這種方法限制用戶對(duì)本地組策略的訪問(wèn)，需要注意兩點(diǎn)：
首先，以內(nèi)建的administrator用戶擁有***的訪問(wèn)權(quán)限為原則，對(duì)系統(tǒng)進(jìn)行的任何策略設(shè)置必須以administrator賬戶身份來(lái)完成。
其次，XP系統(tǒng)所在的分區(qū)格式必須是NTFS，否則無(wú)法對(duì)文件和文件夾的訪問(wèn)權(quán)限進(jìn)行分配。
希望本文介紹的限制用戶對(duì)本地組策略的訪問(wèn)方法能夠?qū)ψx者有所幫助，更多有關(guān)組策略的知識(shí)還有待于讀者去學(xué)習(xí)和掌握。
【編輯推薦】
