标签：
组策略分为计算机配置和用户配置两部分：
1. 计算机配置：当计算机开机时，系统会根据计算机配置的属性来设置计算机环境。例如：我们在Jmilk.com这个AD域内设置了计算机配置组策略，则此策略就会被应用到这个域内的所有计算机。
2. 用户配置：当用户登录时，系统会根据用户配置的属性来设置用户的工作环境。例如：我们对组织单位teacher配置了组策略，则组织单位下的所有用户都会应用该策略。
组策略是通过组策略对象来设置的，在建立了组策略对象之后，将GPO和指定的站点、域、组织单位进行链接。那么这个GPO的属性值就会影响到改站点、域、组织单位。
在域控制器的系统中默认只有某些组内的用户才能登录，一般的用户是服务登录的。例如：域jmilk.com内的Domain Users组中的用户无法在域控制器中登录，除非为他们赋予允许本地登录的权限。我们可以通过GPO：Default Domain Controllers Policy赋予这些用户登录权限。
Step1：以系统管理员的权限登录到域控制器。
Step2：打开组策略控制器
Step3：展开Domain Controllers，并右击编辑GPO：Default Domain Controllers Policy 。
Step4：进入组策略管理编辑器，展开计算机配置至用户权限分配，找到允许本地登录策略后，双击开打。添加组JMILK\Domain Users
注意：成功将JMILK\Domain Users加入到策略后，需要等待一段时间来同步更新。或者你也可以使用指令gpupdate /force来即使同步。在完成同步之后，我们可以在组织单位内创建
例如：在AD域jmilk.com内有一个组织单位teacher，而我们要针对这个组织单位内所有的用户来设置，而且限定它们必须通过企业内部的代理服务器(Proxy Server)上网。假设代理服务器的网址为：proxy.jmilk.com，端口号为8080。同时我们要将其浏览器Internal Explorer的连接标签更改为代理服务器设置的功能禁用，以免防止用户私自的更改此选项。
我们需要先创建一个GPO链接到teacher，然后通过修改此GPO设置值的方式来进行操作。
Step1：以系统管理员的身份登陆到域控制器
Step2：开打组策略管理工具
Step3：展开teacher组织单位，右击，在这个组织单位中创建GPO并链接到此处
Step4：进入组策略编辑器，编辑这个GPO
Step4：选择用户配置策略下的Internal Explorer下的连接选项，再双击代理设置，将proxy.jmilk.com和8080端口填入，确定。
Step5：展开用户设置策略下的管理模板下的Windows组件下的Internal Explorer，编辑右方的禁用更改代理服务器设置的状态改为已启用。
Step6：使用指令gpupdate /force来更新同步组策略
Step7：验证组策略。使用teacher组织单位下的任意用户登录，并查看Internal Explorer选项中代理服务器的设置已经变灰。
组策略还可以分为策略设置和首选设置
1. 首选设置：只有域的组策略才有首选策略功能。首选设置策略的属性是可以被客户端自行改变的。因此首选设置一般用于默认值的设定。
2. 策略设置：是强制性设置，客户端应用这些设置后就无法更改策略属性的。
注意：当某一个项目，同时被首选设置和策略设置处理时，以策优略设置为优先。
同时首选设置来为组织单位teacher内的计算机win7pc自动创建一个本地用户账号Henry。
注意：首先需要HOST：win7pc是在域内的，使能够被DNS解析的。
Step1：使用系统管理员身份登陆到域控制器
Step2：将HOST：win7pc加入到AD域内时，默认会加入到Computers容器。所以需要先在Computers中国找到win7pc后点击右键，移动，选择组织单位teacher。
Step3：打开组策略管理工具
Step4：在组策略管理器中编辑组织单位teacher下原有的GPO：proxy
Step5：展开组策略管理器下的计算机配置下的首选项下的控制面板设置下的对着本地用户和组，右击，选择新建本地用户。
Step6：在弹出的新建本地用户窗口中填入需要创建的用户的信息，再点击常用选项卡
Step7：在常用标签里，选择应用一次且不重复更新。同时选择项目级目标后点击目标按钮。以便将此想项目的应用对象指定到计算机win7pc
Step8：指定策略目标计算机，再点击所有窗口的确定
Step9：更新同步gpupdate，再登陆到HOST：win7pc后打开管理用具下的计算机管理查看henry用户是否存在。
在某些企业要求每一位员工在使用域账号登陆到计算机时，要使用带有企业Logo的桌面壁纸。
Step1：以系统管理员的身份登陆到域控制器。
Step2：打开AD计算机和用户管理工具并创建一个组织单位shareDesktop
Step3：在组织单位shareDesktop下创建你需要管理的用户，或者将需要管理的用户移动到这个组织单位下。
Step4：确保用户具有远程登陆和本地登录权限
远程登陆：
本地登录：
Step5：打开组策略管理器，在组织单位shareDesktop下新建并链接GPO：desktop
Step6：编辑GPO：desktop
6.将用户配置下的管理模板下的Active Desktop设置为启用active desktop，同时确保禁用Active Desktop选项保持未配置状态。
Step7：共享你希望分享的桌面壁纸的文件夹，同时保证everyone 和administrator有完全控制权限
右击希望共享的文件夹，选择属性。点击高级共享，弹出窗口斌勾选共享此文件，再点击权限
确保everyone 和administrator有完全控制权限
共享完成
Step8：测试共享文件
在win7pc中以chihiro的身份登陆，并Run –> \dns1.jmilk.com\image
Step9：启用桌面壁纸策略然后设置你壁纸的共享路径
Step10：确保GPO：desktop已经链接到你需要的组织单位上
Step11：11.执行指令gpupdate /force强制更新同步组策略。然后用你在这个组织单位下的域用户登录域下的计算机。
标签：
原文地址：http://blog.csdn.net/jmilk/article/details/51321714
