文件、打印服务器和组策略综合练习.docx

重庆文理学院
实验报告

文件、打印服务器和组策略综合练习

作者： 温烨伟
指导教师： 刘友缘
学科专业： [计算机科学与技术 | 网络工程]
起始日期：2013年 2月 28日
提交日期：2013年 3月 29日
单位：重庆文理学院

中 国 · 重 庆
2013年3月

目录

1实验 3
1.1 实验目的 3
1.2 实验要求 3
2文件服务器的搭建 5
2.1 文件服务器的搭建 5
2.2 创建域用户及用户组 6
2.3 用户权限设置 12
2.4 设置磁盘配额 12
2.5 验证操作及结果 15
3打印服务器的搭建 17
3.1 启动Print Spooler服务 17
3.2 添加网络打印机 19
3.3 共享打印机与权限设置 23
3.4 验证操作及结果 25
4组策略的应用 27
4.1 统一桌面背景 29
4.2 限制指定的程序 32
4.3 默认IE主页 35
4.4 隐藏C盘 39
4.5 删除windows组件 41
4.6 禁止域用户更改IP 43
4.7 禁止未授权用户U盘 46
4.8 强制开启远程桌面 47
4.9 允许域用户关机 49

1实验
1.1 实验目的
1. 文件服务器的搭建
2. 打印服务器的搭建
3. 组策略的应用
1.2 实验要求
1、文件服务器的搭建（SRV1为域控制器，域为；SRV2加入到域内，分别用于员工和主管登录测试效果用）
SOVO公司要建立一台文件服务器，用于存储公司的应用软件、办公文档（如图1所示）和文件资料．SOVO公司的域名为
要求：
（1）要求公司所有员工(包括经理和主管)只能读取应用软件的安装程序，不能修改和删除；员工只能读取公司的文件资料，不能修改和删除
（2）员工可以读取、修改、删除自己的办公文档,不能访问其它人员的文件夹
（3）经理对所有部门的人员的文件夹有完全控制权限，各部门的主管仅只对下属员工文件夹有完全控制权限
（4）在D盘根目录建立如下目录结构．各用户的登录名用各自姓名的拼音；E盘建立soft文件夹，存储软件安装程序;E盘建立public文件夹，存储公共资料
（5）在D盘和E盘上激活磁盘配额，限制每名员工总的存储量不能超过10MB，警告级别为6MB，超过配额拒绝写入，经理和主管不限制配额

图1 域主机上员工文件夹位置
2、打印服务器的搭建（SRV1为打印服务器；SRV2用于共享SRV1的打印机，用于测试用）,如图2所示
要求：
（1）在SRV1上添加一台HP LaserJet 4LC的打印机。
（2）SRV2能共享打印SRV1的打印机.

图2 搭建示意图
3、 组策略应用（SRV1为域控制器；SRV2属于该域内的测试用户，用于测试用；SRV3为该域内的测试用户）
要求：
（1）所有域用户不能随便修改背景，保证公司使用带有公司LOGO的统一背景。
（2）所有域用户不能运行管理员已经限制的程序，比如计算器，画图,QQ等。
（3）配置域用户所有IE的默认设定为本企业网站，保证员工打开IE可以直接访问到公司网站。且用户不能自行更改主页
（4）隐藏所有用户的C盘，防止用户误删除系统文件，造成系统崩溃。
（5）控制面板中隐藏”添加删除windows组件”，防止用户随意添加windows组件，造成系统问题。
（6）除管理员外的任何域帐号都不可以更改计算机的IP地址设置，防止由于IP地址冲突造成网络混乱。
（7）根据用户权限的大小自动禁止U盘的使用
（8）强制开通用户的远程桌面
（9）允许域用户关机

2文件服务器的搭建
2.1 文件服务器的搭建

启动活动目录安装向导

根据提示完成配置操作
点击两次下一步，选择“在新林中的域”，输入域名“”,默认下一步，直到设置还原模式密码，设置好密码，默认下一步，完成配置。

2.2 创建域用户及用户组

回到SRV1，按图所示在AD用户和计算机中创建OU以及相关用户（用拼音代替）

创建组!

创建用户

选中右边框内用户，单击右键，选择属性->成员->添加->高级->立即查找，把对应用户加入组中

在D盘中创建share，然后在文件夹中新建财务部、工程部、经理部、销售部的文件夹

E盘建立soft文件夹和public文件夹，分别存储软件安装程序和存储公共资料

2.3 用户权限设置
文件夹名
共享权限
NTFS权限
D：\share
Everyone组完全控制
gonghong（经理）完全控制，everyone组列出文件夹目录

D：\share\工红
无
gonghong（经理）完全控制
D：\share\销售部
无
全局组xiaoshoubu读取，gonghong（经理）完全控制，zhangjian（主管）完全控制
D：\share\财务部
无
全局组caiwubu读取，gonghong（经理）完全控制，denglong（主管）完全控制
D：\share\工程部
无
全局组gongchengbu读取，gonghong（经理）完全控制，gongyu（主管）完全控制
员工个人文件夹如：D：\share\销售部\王长飞
无
gonghong（经理）完全控制，zhangjian（主管）完全控制wangchangfei（员工自己）完全控制（注：这里不应该有全局组的继承权限）
E：\soft
everyone组完全控制
Administrator用户完全控制，everyone组读取
E：\public
everyone组完全控制
Administrator用户完全控制，everyone组读取
注：有些操作和书上不一样
2.4 设置磁盘配额
在D、E盘上激活磁盘配额功能，来控制员工文档的存储量

步骤为：右击D盘->属性->配额->选中：启用配额管理、磁盘空间给超过配额限制的用户两个选项->单击配额项->单击配额->新建配额项->给相应的员工设置磁盘配额参数

2.5 验证操作及结果
SRV1上设置用户的密码后，把SRV2加入域中

结果：
1.权限验证：这里我们以王长飞、龚雨和工红为例子，在SRV2上登录账户，通过开始->运行，访问域主机（IP为192.168.2.200），可以发现三个用户都能访问public和soft

但是工红可以访问所有用户的文件夹，龚雨可以访问自己部门所有的文件夹，而王长飞只能访问自己的

磁盘配额验证：还是以王长飞、龚雨和工红为例，首先在SRV2上登录wangchangfei的账户，以当我移动一个超过10M大小的文件夹时，如下图所示

而我用gonghong和gongyu的用户登录，则不会出现此类状况

3打印服务器的搭建
3.1 启动Print Spooler服务
在无打印机的条件下需要先进行以下配置：开始->管理工具->服务->Print Spooler->启动类型选择自动->点击启动->单击应用及确定

3.2 添加网络打印机
在SRV1上以Administrator身份登录，单击开始->打印机和传真

双击添加打印机->单击下一步->连接到此计算机的本地打印机、选中自动检测并安装即插即用打印机->单击下一步

去掉自动检测

（注：由于没有打印机，所以这一步是正常的，单击下一步即可）

选择端口类型为LPT1->单击下一步->厂商和打印机选择HP、HP LaserJet 4LC

.默认设置，单击下一步，位置为SRV1

3.3 共享打印机与权限设置

右击打印机图标->属性->安全，给Administrator用户添加管理打印机的权限，给everyone组赋予打印权限。

3.4 验证操作及结果
在SRV2上以本地Administrator身份登录，单击开始->打印机和传真
双击添加打印机->单击下一步->选择网络打印机或连接其他计算机的打印机->单击下一步

选择第二项，在名称处输入\\192.168.2.200\HP LaserJet 4LC->单击下一步，默认设置完成向导。

验证网络打印（注：由于没有真实打印机，通过是否把数据传给SRV1确认是否安装正确）

测试说明：实验成功！
4组策略的应用
实验步骤：

创建4个组织单位（ou），分别对应经理部、销售部、财务部、工程部，步骤为：开始->管理工具->AD用户和计算机->右击域名->新建->组织单位（ou），然后在ou中新建用户

分别编辑ou的组策略，以销售部为例，右键点击ou->属性->组策略

4.1 统一桌面背景
步骤为：
.双击桌面背景的策略->用户配置->管理模板->桌面->Active Desktop->Active Desktop 墙纸

选择已启用，配置路径为\\192.168.2.200\shares\abc.jpg（在D盘新建文件夹shares，共享此文件，NTFS权限为everyone完全控制。abc.jpg为自己添加的图片），墙纸样式为平铺，同时不允许更改

回到桌面，开始->运行->cmd->gpupdate即可（注：发现不能实现，则需重启策略所在范围内的计算机）

验证：客户端登录域用户

4.2 限制指定的程序
就以windows自带的计算器程序为例，其他程序步骤相同，只要输入相应的exe运行文件即可。
步骤为：
双击限制程序的策略->用户配置->管理模板->系统->不要运行指定的Windows应用程序

选择已启用，点击显示->添加->例：计算器（calc.exe）->确定->应用

回到桌面，开始->运行->cmd->gpupdate即可

验证：客户端登录域用户

为了使此策略更加准确，还可以不允许软件程序的路径，防止用户更改程序名之后可以运行。以下是进行设置的方法：
双击限制程序的策略->计算机配置->Windows设置->安全设置->软件限制策略->其他规则->新建进行设置

4.3 默认IE主页
步骤为：
双击默认网站的策略->用户配置->Windows设置->Internet Explorer维护->URL->重要URL，绑定主页

注意：这里不能输入，它会提示URL无效

双击默认网站的策略->用户配置->管理模板->Windows组件->Internet Explorer->禁用更改主页设置，切换为已启用，绑定主页

回到桌面，开始->运行->cmd->gpupdate即可

验证：打开浏览器，客户端登录域用户，选择工具->Internet选项查看

4.4 隐藏C盘
步骤为：
双击隐藏C盘的策略->用户配置->管理模板->windows组件->windows资源管理器->隐藏”我的电脑”中指定的这些驱动器

切换为已启用，并选择仅限制驱动器C

回到桌面，开始->运行->cmd->gpupdate即可

验证：回到桌面，客户端登录域用户，打开我的电脑进行查看

4.5 删除windows组件
步骤为：
双击隐藏添加删除windows组件的策略->用户配置->管理模板->控制面板->添加或删除程序->隐藏“添加\删除windows组件”页面

切换为已启用

回到桌面，开始->运行->cmd->gpupdate即可

验证：回到桌面，客户端登录域用户，开始->控制面板->添加或删除程序

4.6 禁止域用户更改IP
步骤为：
双击不可更改IP的策略->用户配置->管理模板->网络->网络连接->禁止访问LAN连接的属性，使任何域帐号都不可以更改计算机的IP地址设置

切换为已启用

网络连接->为管理员启用windows2000网络连接设置，使域中的Administrator可以更改。

切换为已启用

回到桌面，开始->运行->cmd->gpupdate即可

验证：回到桌面，客户端登录域用户，双击

4.7 禁止未授权用户访问U盘
步骤为：
双击自动禁止U盘的策略->用户配置->管理模板->windows组件->windows资源管理器->和

里面选中

具体制作方法请参考：

注意：这里要对相应的分组，或者是对某个单独的用户使用此策略，而不是在域里修改组策略

回到桌面，开始->运行->cmd->gpupdate即可

验证：回到桌面，客户端登录不同域用户，插入U盘，查看

4.8 强制开启远程桌面
步骤为：
双击强制远程桌面的策略->计算机配置->管理模板->Windows组件->终端服务
->允许用户使用终端服务远程连接，选择“已启用”

回到桌面，开始->运行->cmd->gpupdate即可(注：这里仍需要重启客户机和域管理员的机器，否则策略不会生效)

验证：回到桌面，打开我的电脑属性->远程查看，域超级管理员用户运行cmd->mstsc进行访问,这里启用了两台客户机进行测试

4.9 允许域用户关机
步骤为：
双击允许域用户关机的策略->计算机配置->windows设置->安全设置->本地策略->用户权限分配->关闭系统,然后加入域用户

回到桌面，开始->运行->cmd->gpupdate即可（说明：这里要重启客户机和域管理员的机器，否则策略不会生效）

验证：回到桌面，客户端登录不同域用户查看

注意：发现本地用户组不能关机了，这里解释一下：因为我设置的是计算机设置加入的相关用户，只对计算机中相关用户生效。而用户设置相关用户生效，如果要实现本地关机，则加入相关本地用户即可。