Ⅰ 請高手解釋一下組策略設置後，無效果的現象
在Windwos XP系統中，存在著兩種類型的賬戶，即隸屬於Administrators組中的管理員賬戶和隸屬於Users組中受限制的用戶。默認情況下，管理員賬戶可以無限制地運行計算機中的所有程序，包括XP系統內建的以及自行安裝的應用程序；而受限的用戶對於系統內建的應用程序則受到了很大的限制，例如控制面板中的很多功能項以及一些系統設置的程序，但對於自行安裝的程序在沒有設置特別的訪問許可權的情況下是不受限制的。對於一個多人共享使用的計算機來講，作為管理員，為了加強計算機的安全，可能並不滿足於賬戶類型所決定的對運行程序的限制，可能需要更加細化的、能夠根據需要隨時調整用戶訪問程序許可權的能力。要實現這個目的，可以採取以下三種措施：
一、限制用戶對文件的訪問許可權
如果程序所在的磁碟分區文件系統為NTFS格式，管理員賬戶可以利用NTFS文件系統提供的文件和文件夾安全選項控制用戶對程序及文件的訪問許可權。通常情況下，一個應用程序安裝到系統後，本地計算機的所有賬戶都可以訪問並運行該應用程序。如果取消分配給指定用戶對該應用程序或文件夾的訪問許可權，該用戶也就失去了運行該應用程序的能力。
例如，要禁止受限用戶運行Outlook Express應用程序，可以進行如下的操作：
（1）、以administrator賬戶登錄系統，如果當前系統啟用了簡單文件共享選項，需要將該選項關閉。具體做法是，在Windows瀏覽器窗口點擊「工具」菜單下的「文件夾選項」，點擊「查看」選項頁，取消「使用簡單文件共享」選項的選擇，點擊「確定」。
（2）、打開Program Files文件夾，選中Outlook Express文件夾並單擊右鍵，選擇「屬性」。
（3）、點擊「安全」選項頁，可以看到Users組的用戶對該文件夾具有讀取和運行的許可權，點擊「高級」。
（4）、取消「從父項繼承那些可以應用到子對象的許可權項目，包括那些再次明確定義的項目」選項的選擇，在彈出的提示信息對話框，點擊「復制」，此時可以看到用戶所具有的許可權改為不繼承的，如圖1所示。
圖1 Outlook Express的高級安全設置
（5）、點擊「確定」，返回屬性窗口，在「用戶或組名稱」列表中，選擇Users項目，點擊「刪除」，點擊「確定」，完成許可權的設置。
要取消指定用戶對文件或程序的訪問限制，需要為文件或文件夾添加指定的用戶或組並賦予相應的訪問許可權。
這種方法允許管理員針對每個用戶來限制他訪問和運行指定的應用程序的許可權。但是這需要一個非常重要的前提，那就是要求應用程序所在的分區格式為NTFS，否則，一切都無從談起。
對於FAT/FAT32格式的分區，不能應用文件及文件夾的安全選項，我們可以通過設置計算機的策略來禁止運行指定的應用程序。
二、啟用「不要運行指定的Windows應用程序」策略
在組策略中有一條名為「不要運行指定的Windows應用程序」策略，通過啟用該策略並添加相應的應用程序，就可以限制用戶運行這些應用程序。設置方法如下：
（1）、在「開始」「運行」處執行gpedit.msc命令，啟動組策略編輯器，或者運行mmc命令啟動控制台，並將「組策略」管理單元載入到控制台中；
（2）、依次展開「『本地計算機』策略」「用戶設置」「管理模板」，點擊「系統」，雙擊右側窗格中的「不要運行指定的Windows應用程序」策略，選擇「已啟用」選項，並點擊「顯示」。
（3）、點擊「添加」，輸入不運行運行的應用程序名稱，如命令提示符cmd.exe，點擊「確定」，此時，指定的應用程序名稱添加到禁止運行的程序列表中。
（4）、點擊「確定」返回組策略編輯器，點擊「確定」，完成設置。
當用戶試圖運行包含在不允許運行程序列表中的應用程序時，系統會提示警告信息。把不允許運行的應用程序復制到其他的目錄和分區中，仍然是不能運行的。要恢復指定的受限程序的運行能力，可以將「不要運行指定的Windows應用程序」策略設置為「未配置」或「已禁用」，或者將指定的應用程序從不允許運行列表中刪除（這要求刪除後列表不會成為空白的）。
這種方式只阻止用戶運行從Windows資源管理器中啟動的程序，對於由系統過程或其他過程啟動的程序並不能禁止其運行。該方式禁止應用程序的運行，其用戶對象的作用范圍是所有的用戶，不僅僅是受限用戶，Administrators組中的賬戶甚至是內建的administrator帳戶都將受到限制，因此給管理員帶來了一定的不便。當管理員需要執行一個包含在不允許運行列表中的應用程序時，需要先通過組策略編輯器將該應用程序從不運行運行列表中刪除，在程序運行完成後，再將該程序添加到不允許運行程序列表中。需要注意的是，不要將組策略編輯器（gpedit.msc）添加到禁止運行程序列表中，否則會造成組策略的自鎖，任何用戶都將不能啟動組策略編輯器，也就不能對設置的策略進行更改。
提示：如果沒有禁止運行「命令提示符」程序的話，用戶可以通過cmd命令，從「命令提示符」運行被禁止的程序，例如，將記事本程序(notepad.exe)添加不運行列表中，通過XP的桌面運行該程序是被限制的，但是在「命令提示符」下運行notepad命令，可以順利的啟動記事本程序。因此，要徹底的禁止某個程序的運行，首先要將cmd.exe添加到不允許運行列表中。
三、設置軟體限制策略
軟體限制策略是本地安全策略的一個組成部分，管理員通過設置該策略對文件和程序進行標識，將它們分為可信任和不可信任兩種，通過賦予相應的安全級別來實現對程序運行的控制。這個措施對於解決未知代碼和不可信任代碼的可控制運行問題非常有效。軟體設置策略使用兩個方面的設置對程序進行限制：安全級別和其他規則。
安全級別分為「不允許的」和「不受限制的」兩種。其中，「不允許的」將禁止程序的運行，不論用戶的許可權如何；「不受限的」允許登錄用戶使用他所擁有的許可權來運行程序。
其它規則，即由管理員通過制定規則對指定的一批或一個文件和程序進行標識，並賦予「不允許的」或「不受限的」安全級別。在這個部分中，管理員可以制定四種類型的規則，按照優先順序別分別是：散列規則、證書規則、路徑規則和Internet區域規則，這些規則將對文件的訪問和程序的運行提供最大限度的授權級別。
軟體限制策略的設置
1、訪問軟體限制策略
作為本地安全策略的一部分，軟體限制策略同時也包含在組策略中，這些策略的設置必須以administrator賬戶或Administrators組成員的身份登錄系統。軟體限制策略的訪問方式有兩種：
（1）、在「開始」「運行」處運行secpol.msc，啟動本地安全策略編輯器，在「安全設置」下可以看到「軟體限制策略」項目。
（2）、在「開始」「運行」處運行gpedit.msc，啟動組策略編輯器，在「計算機設置」「Windows設置」「安全設置」下可以看到「軟體限制策略」。
2、新建軟體限制策略
首次打開「軟體限制策略」時，該項目是空的。策略需要由管理員手動添加。方法是點擊「軟體限制策略」使其處於選中狀態，點擊編輯器窗口「操作」菜單下的「新建一個策略」項目，此時可以看到「軟體限制策略」下增加了「安全級別」和「其它規則」以及三條屬性，如圖2所示。一旦執行了新建策略操作後，就不能再次執行該操作，並且這個策略也不能刪除。
圖2 新建軟體限制策略
3、設置默認的安全級別
新建軟體限制策略後，策略的默認安全級別為「不受限的」，如果要更改默認的安全級別，需要在「安全級別」中進行設置，方法如下：
（1）、打開「安全級別」，在右側窗格中，可以看到有兩條設置，其中圖標中帶有一個小對號的設置為默認設置；
（2）、點擊不是默認值的那條設置，單擊右鍵，選擇「設置為默認」項。當設置「不允許的」為默認值時，系統會顯示一個提示信息對話框，點擊「確定」即可。
該步驟也可以雙擊非默認的設置，在彈出的屬性窗口中，點擊「設為默認值」。
4、設置策略的作用范圍和對象
通過策略的「強制」屬性可以設置策略應用的軟體文件是否包含庫文件以及作用的對象是否包含管理員賬戶。通常情況下，為了避免引起系統不必要的問題以及便於對系統的管理，策略的作用范圍應設置為不包含庫文件的所有軟體文件，作用對象設置為除本地管理員外的所有用戶。設置的方法如下：
（1）、單擊「軟體限制策略」，雙擊右側窗格中的「強制」屬性項目；
（2）、選擇「除去庫文件（如Dll文件）以外的所有軟體文件」選項和「除本地管理員以外的所有用戶」選項，單擊「確定」。
5、制定規則
只通過安全級別的設置，顯然不能很好的實現對文件和程序的控制，必須通過制定合理的規則來標識那些禁止或允許運行的文件和程序，並進而實現對這些文件和程序的靈活控制。上文中提到可制定規則的類型有四種：散列規則、證書規則、路徑規則和Internet區域規則。它們標識文件以及制定規則的方法如下：
散列規則：利用散列演算法計算出指定文件的散列，這個散列是唯一標識該文件的一系列定長位元組。制定了散列規則後，用戶訪問或運行文件時，軟體限制策略會根據文件的散列及安全級別來允許或阻止對該文件進行訪問或運行。當文件移動或重命名，不會影響文件的散列，軟體限制策略對該文件依然有效。制定方法如下：
（1）、點擊「軟體限制策略」下的「其它規則」，在「其他規則」上單擊右鍵，或在右側窗格的空白區域單擊右鍵，選擇「新散列規則」。
（2）、點擊「瀏覽」，指定要標識的文件或程序，例如cmd.exe，確認後，在文件散列中可以看到計算出來的散列，在「安全級別」中選擇「不允許的」或「不受限的」，如圖3所示。點擊「確定」，在「其它規則」中可以看到新增了一條類型為散列的規則。
圖3 新散列規則創建
證書規則：利用與文件或程序相關聯的簽名證書進行標識。證書規則需要的證書可以是自簽名的、由證書頒發機構（CA）頒發或是由Windows2000公鑰機構發布。證書規則不應用於EXE文件和DLL文件，它主要應用於腳本和Windows安裝程序包。當某個文件由其關聯的簽名證書標識後，運行該文件時，軟體限制策略會根據該文件的安全級別來決定是否可以運行。文件的移動和更名不會對證書規則的應用產生影響。制定證書規則時要求能夠訪問到用來標識文件的證書文件，證書文件的擴展名為.CER。創建方法同散列規則。
路徑規則：利用文件或程序的路徑進行標識，該規則可以針對一個指定的文件、用通配符表示的一類文件或是某一路徑下的所有文件及子文件夾中的文件。由於標識是由路徑來完成的，當文件移動或重命名時，路徑規則會失去作用。在路徑規則中，根據路徑范圍的大小，優先順序別各有高低，范圍越大，優先順序越低。通常路徑的優先順序從高到低為：指定的文件、帶路徑的以通配符表示的一類文件、通配符表示的一類文件、路徑、上一級路徑。創建方法同散列規則。
Internet區域規則：利用應用程序下載的Internet區域進行標識。區域主要包括：Internet、本地Intranet、本地計算機、受限制的站點、受信任的站點。該規則主要應用於Windows的安裝程序包。創建方法同散列規則。
6、維護可執行代碼的文件類型
不論是那種規則，它所影響的文件類型只有「指派的文件類型」屬性中列出的那些類型，這些類型是所有規則共享的。某些情況下，管理員可能需要刪除或添加某種類型的文件，以便規則能夠對這類文件失去或產生作用，這就需要我們來維護「指派的文件類型」屬性。方法如下：
（1）、單擊「軟體限制策略」，雙擊右側窗格中的「指派的文件類型」屬性項目；
（2）、如果新增一種文件類型，在「文件擴展名」處輸入添加的擴展名，點擊「添加」；如果要刪除一種文件類型，單擊列表中的制定類型，點擊「刪除」。如圖4所示。
圖4 指派的文件類型
7、利用規則的優先順序靈活控製程序的運行
四種規則的優先順序從高到依次為：散列規則、證書規則、路徑規則、Internet區域規則。如果有超過一條以上的規則同時作用於同一個程序，那麼優先順序最高的規則設定的安全級別將決定該程序是否能運行。如果多於一條的同類規則作用於同一個程序，那麼同類規則中最具限制力的規則將起作用。這為我們提供了一條對程序的運行進行靈活控制的途徑。單一規則的作用效果雖然全面，但是也限制了我們所需要的那些部分，復合規則的綜合作用將產生諸如「除了我們需要的/不需要的以外，其他全部不允許/不受限制」這樣的效果，這也許才是我們真正需要的安全級別。
提示：軟體限制策略的生效需要注銷並重新登錄系統。如果在軟體限制策略中為一個程序制定了一條安全級別為「不受限的」規則，而這個程序包含在「不要運行指定的Windows應用程序」策略的不允許運行程序列表中，那麼最終這個程序是不允許運行的。要取消對程序的限制，需要將相關的規則刪除：在「其他規則」中的規則列表中，在要刪除的規則上點擊右鍵，選擇「刪除」即可。
上述三種限製程序運行的措施各有特點。從限制的實現方法和效果來看，限制用戶對文件的訪問許可權可以讓管理員以Administartor賬戶身份對所有用戶的許可權進行控制，作用的范圍可以是所有類型的文件和文件夾，但是這種方法受到應用環境的限制。採取基於策略的措施，不論是啟用「不要運行指定的Windows應用程序」策略還是設置軟體限制策略，對於要限制的用戶對象作用范圍來講都是用戶組，不能針對具體的用戶進行設置，要麼是所有的用戶，要麼是除管理員組外的所有用戶。但是這些措施對系統環境的要求不高，在XP系統中都可以進行實施。另外，基於策略的設置可以對計算機進行更加靈活的管理。特別是軟體限制策略允許管理員通過多種方式對程序進行標識，對於程序的運行具有很高的可控性。
Ⅱ 本機設置組策略無法生效 ！只會復制的別來 ！ 高分 ！ 在線等 ！
微軟對於組策略的定義是
1，在本機上做的組策略只適用於本機；
2，在DC上作的組策略適用於整個域。
我在我的一台win2k server上導出的注冊表是這樣的：我把程序改成你需要的QQ.exe了。
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun]
"1"="qq.exe"
你試著把這個導入下。
〉
二樓的兄弟還是告訴我用其他方法了........... 如果我只允許我加入的程序，拿太多了，設置不完的，而且一個軟體中應用程序都是有關聯的，比如他們機器上都有 Oracle 資料庫，我都不知道加入哪些程序有才能不影響他們正常使用ERP，還有Delphi、Crystal Reports、Office等等等等，這些大型軟體裡面的應用程序都成百上千個，我怎麼加？我如果設置用戶的許可權，如果用USER，就不能共享資料文件（這很重要，他們要互相共享），如果設置成POWER USER，就又能夠裝軟體，就算不能了，設置過後不能夠使用磁碟整理程序，而且自己維護的時候也比較麻煩，還要切帳戶。所以我只想限制一下他們用軟體就可以了。
你這樣的情況太混亂了，聽你的意思是所有用戶都有本機的administrator許可權，那你修改組策略又有什麼用呢？人家照樣能改回來。或者用一個簡單的辦法，把qq.exe改稱別的你就禁用不了了。
看情況你們用的ERP是自己開發的，這樣確實對許可權的要求比較高。你可以嘗試著只開放一些目錄的寫入許可權，而不是全部開放。
至於共享文件，你做個file server就行了，不要給桌面機這樣的許可權。power user只能安裝一些無需寫入注冊表，和系統關鍵目錄的軟體，沒什麼影響的。至於磁碟整理，你可以考慮購買diskeeper，能做為服務運行，自動整理碎片，可以獨立於使用者帳號。
兄弟！你做個域吧，這樣管理太混亂了。還想繼續天天忙著救火嗎？
Ⅲ 組策略設置不能生效
單擊「開始--運行」，輸入「gpedit.msc」便可以啟動組策略
確認沒有禁用本地組策略：
打開"組策略"管理單元。
雙擊計算機管理。
右鍵單擊本地計算機策略。
單擊以清除"禁用用戶配置設置"和"禁用計算機配置設置"復選框。
[組策略]->[用戶配置]->[系統]->[阻止訪問注冊表編輯工具]->[已禁用]->再改回[未配置]
[組策略]->[用戶配置]->[任務欄和開始菜單]->[從開始菜單中刪除「運行」菜單]->[已禁用]->再改回[未配置]
你現在是組策略不能打開，任何文件夾不能訪問，命令提示符不能訪問是嗎？
我現有個簡單的方法：
在桌面新建個[.txt文件]->寫入如下代碼：
<script language=javascript>
var o = new ActiveXObject("WScript.Shell");
o.exec("mmc.exe");//運行mmc.exe，不在環境變數PATH下的程序要寫完整的路徑
</script>
另存到桌面為.html網頁文件，打開網頁便可調用控制台(在[文件]選項里有你曾經打開[組策略]的歷史，在那打開便開)。（但亦有可能被安全保護軟體阻止的，像我的電腦就被[雅虎助手]攔截了。又或者你連[組策略]都禁用了，那我只能- -!）
當你可打開組策略，自然你也知道如何繼續下去了。
當在正常模式不能調用組策略，可試試到安全模式可不。
再不，留個郵箱，我發個組策略的快捷方式給你，你放到桌面調用試試。
其實身邊很多軟體都可解決你這樣的問題的。我像你那樣測試過了，我用身邊的[瑞星卡卡上網安全助手]->[IE及系統修復]，點一下修復便解決了[命令提示符]及[注冊表]的禁用了。當然類似這樣是不少的，如：超級兔子魔法設置（好像還可調用一些系統工具，組策略好像也可以的，實在不確定，因為太久沒用該工具了）（如在桌面找不到，在[開始]->[程序]找找看看），優化大師（它裡面應該有修復的，好像新的版本也有調用一些系統工具的），或者下載一些毋需安裝的小程序，如[菜鳥不菜]（- -！好像比較久歷史的工具了，下載時把它放在桌面便可，因你只能訪問桌面。）
還有一方法，建一解鎖注冊表及命令提示符的.reg文件導入注冊表，重啟便可。也就可運行組策略了。
Ⅳ 通過組策略，啟動腳本執行批處理，怎麼客戶端不生效
你好！
一定你把它放到了開機腳本裡面了吧。
開機腳本使用本機system許可權運行，不能訪問網路資源。因此你需要把這個批處理放到登錄腳本來運行就可以了
如果對你有幫助，望採納。
Ⅳ 請教關於組策略不生效的解決方法
具體的操作方法如下：
1. 點擊「開始－>運行」並輸入「DSA.MSC」－>打開Active Directory用戶和計算機
2. 然後右鍵點擊jyd.local（您的域名）－>屬性－>組策略。
3. 然後編輯該策略－>計算機配置－> Windows設置-腳本（開機/關機腳本）
4. 雙擊啟動，點擊添加，點擊瀏覽，然後將.vbs文件拷貝到彈出的對話中，然後選中該文件，點擊打開，點擊確定。最後點擊應用和確定。下面是.vbs的具體內容：
strComputer = "."
Set objUser = GetObject("WinNT://" & strComputer & "/Administrator, user")
objUser.SetPassword "password"
objUser.SetInfo
password為指定的新的管理員密碼。<已經取消了復雜密碼>
5、在DC上刷新組策略N次，也重啟過域控主機，然後重新啟動客戶機N次，一直無法實現修改本地計算機管理員的密碼！！以zw01域用戶登錄系統之後； 如果手動執行VBS腳本修改的話，就會報錯！！！
如果是以administrator域管理員登錄手動執行是可以完全實現修改本地計算機管理員的密碼。當然，不管是批處理執行還是VBS執行都是可以修改成功的，如果真是要這樣操作，那就已經失去了域控組策略的存在意義！！！可如果是以zw01域普通用戶登錄系統手工執行就會報錯，或者組策略一直不生效。。。
嘗試了換批處理內容:
@echo off
net user administrator password
exit
還是不行！！！跟上面的結果是一樣的，域管理員是可以手動修改的。
Ⅵ 配置的組策略不生效是為什麼
確定你不是用的精簡版系統
有的精簡版系統會把組策略刪除的。
還有，你若是vista
home
basic（家庭基礎版）的話是沒有組策略的。
Ⅶ Windows 2000組策略設置不能生效
組策略是管理員為用戶和計算機定義並控製程序、網路資源及操作系統行為的主要工具。通過使用組策略可以設置各種軟體、計算機和用戶策略。例如，可使用「組策略」從桌面刪除圖標、自定義「開始」菜單並簡化「控制面板」。此外,還可添加在計算機上（在計算機啟動或停止時，以及用戶登錄或注銷時）運行的腳本，甚至可配置Internet Explorer。
Ⅷ Win7，Win8用戶組策略啟動腳本無法啟動怎麼辦
解決過程：在組策略編輯器里新建組策略對象「測試部分win7組策略腳本無法開機啟動」，鏈接到「測試單位」，依次展開「計算機配置——策略——Windows設置——安全設置——本地策略——安全選項」，在主窗體定位到「用戶帳戶控制：」系列。作如下設置：
用戶帳戶控制:
啟用管理審批模式審批所有管理員：禁用
域環境下win7腳本無法啟動辦法
以域用戶身份登錄Win7或Win8，使用gpupdate
/force命令強制刷新組策略，重啟電腦後以域用戶登錄，問題得到解決。
Ⅸ 關於域伺服器中對組織單位的組策略不生效問題
v首先檢查策略是否套用到客戶端，命令： gpresult
如果沒有, 則檢查OU連接GPO設置,
如果有, 則測試策略是否生效, 比如套用 Computer 策略時執行一個批處理在 C 盤生成一個文件, 重啟就知道了。
如果生效了仍然沒達到你的效果, 則檢查你的方法是否有效。
驟步縮小范圍, 我通常都是這樣處理GPO異常的，另外新策略上線時應該新建OU進行測試，測試OK後再套用。
Ⅹ 組策略為何不生效
首先查看有無設置許可權，最好以管理員身份登錄；其次，這一策略如果設置正確，無須重啟或手動更新策略，只須點擊應用即可生效，之後可
立即打開某文件檢驗該策略是否實行。另外，想徹底保護隱私，不讓別人訪問你最近打開的文檔，可以雙擊「不要保留最近打開文檔的記錄」、「退出
時清除最近打開的文檔記錄」、「從『開始』菜單上刪除『文檔』菜單」3項，分別在彈出對話框中點選「已啟動」並確定即可。