前言
如果说在Windows 9x和NT时代最让IT Pro着迷的技巧就是注册表寻宝的话，那么从Windows 2000开始引入的组策略（Group Policy）已经逐渐把管理员们的目光引向了安全而方便的组策略对象（Group Policy Object，GPO）管理。如今，基于组策略的域管理已经成为IT Pro推行管理措施于无形的终极利器。于是，无论是Service Pack的升级，还是新操作系统的发布，组策略的升级与更新都已经成为IT Pro们关心的头等大事之一，这一点对于即将推出的下一代操作系统Vista和Windows Server “Longhorn”也不例外。作为回应，微软在Windows Server 2003 Service Pack 1到Windows Vista和Longhorn Server的升级中，组策略设置的数目也从1700个激增到2400个左右，为用户提供了更大的管理空间。 作为Windows历史上最为重要的升级，Vista和Windows Server “Longhorn”在组策略方面的升级不仅仅是更为广泛的策略覆盖范围，它还提供了Network Awareness和更佳的可靠性，以及其它易管理性方面的更新。今天我们所要讨论的，就是Vista和Longhorn Server中的组策略更新。支持组策略的新操作系统版本 在Windows XP时代就发生过如此尴尬的事情，为了节省费用，随着笔记本购买的Windows XP Home版消费者在使用过程中才发现，原来除了那些黑心JS们宣称的Profession版本中可有可无的功能以外，一个极其重要的特性——加入域的能力——Home版是不具备的，于是消费者不得不添加一笔可观的费用更换为Profession版本。到了Vista时代，更多版本的操作系统可能会让你在购买时更加不知所措。但你只需要记住，作为域管理的关键特性——组策略只包含在基于域版本的Windows Vista和Windows Server “Longhorn”中。所以，如下版本的操作系统才支持组策略：Vista的Small Business，Profession，Enterprise和Ultimate版本，以及Windows Server “Longhorn”。组策略基础架构上的更新（上）
组策略基础架构上的更新 和Windows XP以及Windows Server 2003不同，Vista和Longhorn Server中的组策略更新是自下而上的改进，它为组策略应用提供了更佳的可靠性和性能。组策略基础架构方面的改进主要来自于新操作系统以下几方面新特性：Network Location Awareness、Group Policy Service、新的管理模板文件格式（ADMX）、FRS和Sysvol的改进，新的事件和日志记录机制，以及多个本地组策略对象的支持。 Network Location Awareness。我们知道，组策略以及GPO设置的应用对于网络可用性的依赖非常之大。Vista新的Network Location Awareness特性使组策略对于网络状态的改变能够得到更好的响应。而它最大优势就在于组策略应用程序不再依托ICMP协议。通过Network Location Awareness，新操作系统的组策略可以得到以下好处：1.工作站和服务器启动时间将更短。Network Location Awareness为组策略提供了一个更准确的网络指示器，让它能够判断网络适配器是否禁用或是未连接，从而在网络无法使用的情况下减少等待时间。2.无论何时域控制器连接重新可用时，组策略客户端都将应用策略设置。这些触发组策略处理2进程的连接事件包括建立VPN会话，从休眠或待机模式恢复，成功结束隔离，或是笔记本插回电源等。更及时地应用策略变更在无形中也提高了工作站的安全等级。并且，如果贵公司有一些基于物理位置的组策略（如打印机配置），那么在你把笔记本从办公室带到会议室，并接入到公司的无线网时，那么它就可以立即更新组策略中的设置，把打印机设置更换为会议室的打印机。3.组策略客户端利用Network Location Awareness进行带宽检测，并且不再依赖于ICMP协议。以前Windows管理员可能会因为安全的原因想禁用类似Ping这样基于ICMP协议的工具，但由于组策略这样的重要组件对于ICMP的依赖性，使我们的愿望无法得以顺利实现。有了Network Location Awareness以后，我们就可以放心地禁用ICMP，并且不用再担心是否会影响组策略的刷新。4.Group Policy Service。在新的操作系统中，组策略的基础架构已经完全脱离了Winlogon，它以全新的体系结构执行组策略处理和通知。并且，新的组策略服务还为Windows带来更佳的性能体验，例如：
微软新的组策略文件在更新时无需重启操作系统。
减少了后台处理所占用的资源，策略的应用将更加高效。新的设计减少了内存的占用并提升了性能。这些变化消除了在多个服务中加载组策略功能的需要。
5.新的管理模板文件格式——ADMX。自从在Windows NT 4.0中发布以来，管理模板文件一直使用着单独的文件格式，也就是我们所熟悉的ADM文件。管理模板文件里包含了标记语言，它用来描述基于注册表的组策略。然而，对于喜欢直接面对模板文件内容并按照自己需要进行修改的Windows管理员来说，ADM模板文件虽然为修改注册表提供了必要的方法，但是也带来了不少不便之处，例如版本控制，多语种支持上的天生缺陷等。并且，对于一种独立格式的文件来说，学习与使用上也会麻烦得多。终于，在Windows Vista中，微软开始务实地解决这个问题，并由此带来了新的管理模板文件格式——ADMX。ADMX文件是一种基于XML的文件，这种新管理模板文件的出现，使得在Vista和Longhorn Server中管理基于注册表的策略设置变得更加简便。
在Windows Vista中，ADMX文件划分为语言中立和语言特定的资源，以便适用于所有的组策略管理员——这对那些跨国公司的域管理所带来的好处是不言而喻的。并且，组策略工具可根据管理员配置的语种来调整他们的UI。只需要确保特定语种的资源文件可用，你就可以添加新的语种到策略定义集中。除了在多语种上的优势以外，新的ADMX文件格式拥有以下的新特性：
基于XML的策略定义文件。除了易于在多语种环境下进行策略管理之外，基于XML这种通用文件格式本身就为管理员进行自动和手动管理带来了极大的便利。因为他们可以把以往XML方面的知识直接应用到ADMX文件的创建与编辑中，甚至是编写自己的策略管理工具，而不需要学习一种新的语法。
集中存储ADMX文件。集中存储是一个创建在Sysvol中的域范围的目录。集中存储ADMX不仅可以减少额外的存储要求，最重要的就是，它可以集中地更新和管理ADMX文件，而不再需要存放在每一个GPO中，从而极大提高复制的效率并减少带宽占用。
组策略工具兼容。组策略管理工具可以读取任何存储在本地或是GPO中的ADM文件。它确保了Vista、Longhorn Server以及之前版本操作系统在管理上的互操作性。
需要注意的就是，对于那些ADMX文件中才有的策略设置将只可用于Windows Vista和Longhorn Server。
组策略基础架构上的更新（下）
6.FRS和Sysvol的改进。受益于在文件复制服务（FRS）和新的管理模板文件（ADMX）在存储方面的改进，组策略大大减少了网络带宽的占用和Sysvol存储的消耗。作为FRS的继任者，DFS Replication是一个新的基于状态的多主机复制引擎，它支持计划复制和带宽控制。DFS Replication新采用了一种称作是Remote Differential Compression的压缩算法，使它能够只复制两个服务器之间的差异部分，从而在复制过程中占用更少的带宽。
在早期版本的操作系统中，无论何时你创建了一个组策略对象，所有缺省的管理模板文件（ADM文件）都会添加到GPO里，每个GPO大约都会占用4MB的空间。于是，在那些会引起所有GPO都改变的事件中，它对网络带宽的占用和性能的影响是非常大的。在新的操作系统中，这一过程被取代为使用Sysvol集中存储的新版本的ADM文件，也就是ADMX文件。不过，和之前版本的Windows不同，Windows Vista创建的每个GPO都不包含ADMX文件。于是，这一改变也就意味着在更加高效的DFS复制服务之上更少的数据复制。
7.新的事件和日志记录机制。随着组策略服务的独立，组策略引擎也将不再依靠userenv.dll创建的跟踪日志。在早期版本的操作系统中，很多组策略排错都依赖于userenv.dll组件内部启用的日志记录。它在“%WINDIR%\\Debug\\Usermode”文件夹下创建了一个名为userenv.log的日志文件。这个日志文件中包含了函数的跟踪状态以及相关的支持数据。然而除此之外，配置文件的加载和卸载函数也共享着这个日志文件，从而给诊断错误带来了许多困难。我们主要利用这个日志文件和策略结果集管理控制台对组策略问题进行诊断和修复。
在Windows Vista中，组策略会被视为Group Policy Service——这个运行在Svchost进程之下的独立服务，用于读取和应用组策略——自身的组件。新的服务也带来了事件报告上的变化。先前显示在应用程序日志中的组策略事件信息现在将会显示在系统日志中。事件查看器以Microsoft-Windows-GroupPolicy事件源列出这些信息，取代了以前的userenv日志。把组策略处理过程中的日志纳入到Windows标准的事件日志框架中会给将来的组策略排错带来很大的便利。
8.多个本地组策略对象。Windows Vista和Longhorn Server在管理本地组策略对象（LGPO）方面带来了更佳的灵活性，它为单一的计算机上管理多个LGPO提供了管理途径。这种灵活性的改进给那些有共享环境的计算机管理带来了很大便利，例如图书馆和计算机实验室，以及那些每个计算机管理自身策略设置的工作组。另外，这一特性也可以工作在基于域的组策略中，并能够通过一个组策略设置禁用。
多个本地组策略可以让你更灵活地管理基于内置组的计算机。例如，如果你想设置机房中的某台计算机对公用账号使用限制级别较高的策略设置，从而获得更好的安全性；对内置的管理员账号使用限制较小的策略设置，让他们在使用时的自由度更大。这样就避免了管理员们在进行管理工作时要先移除或禁用与当前执行的任务相冲突的策略设置。另外，Windows Vista管理员也可以简单地关闭本地组策略设置而不需要启用基于域的组策略。我们渴望已久的一些组策略功能
我们渴望已久的一些组策略功能 基础架构的改进带来了性能和可靠性上的根本提升。除了这些根本的更新之外，新的操作系统在其它方面的改进能够让Windows系统管理员更有效地管理域中的机器。你以前可能曾经抱怨过组策略在某些方面的管理还不是那么完美，很难或无法实现自己的一些管理上的想法，但在新的操作系统中，有很多我们渴望已久的组策略功能现身了。 电源管理设置的组策略部署。记得在2006年6月刊杂志的“编读往来”栏目中曾有读者询问过这方面的问题。是的，Vista之前的操作系统中我们最多只能通过第三方软件来解决集中控制电源管理选项的问题，但是在新的操作系统中它已经不再是一个麻烦了。在Vista中，所有的电源选项都可以通过组策略来进行控制，如果你所在的公司里整晚上都有彻夜开机的数百台电脑，那么，当老板们看到你的组策略电源控制计划时，估计做梦都会笑到醒来。当然，为了避免夜晚加班的同事们找你的麻烦，你可以设置不同的电源管理策略以适应不同用户的需要。 屏蔽硬件。我们不知道有多少次遇到类似的麻烦了，无论是在网吧、学校机房、还是公司，很多管理员都面临着用户随意使用U盘或是其它移动存储设备所带来的安全隐患。以至于想了很多办法来避免这种问题，但是这些方法大多麻烦且缺乏简便的管理途径。到了Vista中，这个问题已经变得微不足道了。你可以通过组策略中的相关设置集中控制组织中安装的设备。比如创建策略限制USB设备，CD-RW或是DVD-RW驱动器，以及其它的可移动媒体的使用。 增强的安全设置。安全方面始终是一个焦点，但这也是一直以来Windows被用户和竞争对手所诟病的弱点之一。在Vista中，防火墙和IPSec的组策略设置被合并到了一处，你可以从这两种技术的结合中受益。另外，两者的结合同时还避免了创建和维护重复的功能。关于结合防火墙与IPSec策略设置支持的场景包括保护跨Internet的服务器到服务器间的通讯，基于信任关系和机器的健康度来限制域资源的访问，和保护指定服务器的数据通讯以满足数据隐私和安全制度的需要等。 扩充的Internet Explorer设置管理。在Windows Vista中，你再也不需要担心在打开和编辑IE的组策略设置时会无意中修改那些基于管理工作站配置的策略设置，并承担由此所带来的风险。这种改变取代了早先在查看某些IE的策略设置时会修改基于管理工作站启用的策略设置。 基于物理位置分配打印机。打印机的管理对于每一个Windows管理员来说都是一个梦魇，很多Windows管理员对于微软在这方面改善的速度一直都颇有怨言。在新的操作系统中，微软终于拿出了让人满意的行动来扭转这一局面。在Vista中，新增加的这一特性可以让我们根据打印机在组织中的位置或是实际的地理位置来分配打印机。当移动用户到了一个不同的地点时，组策略可以根据新的位置去更新他们的打印机，而当他们返回原处时，看到的还是原有的打印机。这个功能对于那些物理位置不在一处的分支办公室场景是非常合适的，试想一下这种情况，你的经理拿着笔记本从他一楼的办公室来到十二楼的会议室参加会议，会议中他不需要进行额外的设置就可以直接把会议记录从会议室的打印机里打印出来。这种情景，无论是管理员还是最终用户，都是他们长久以来所期望看到的。当然，需要注意的一点就是，把计算机移动到一个新的站点位置时，组策略是不会自动刷新策略设置的。新的打印机分配会在站点位置改变之后的组策略刷新完成时生效。 把设备驱动程序安装委托给普通用户。我们知道，在以前版本的操作系统中，只有本地管理员组的成员才可以安装新的设备到系统中。很多时候它在给用户造成安装上的麻烦的同时，也为管理员增加了很多工作负担。在Windows Vista中，管理员可以利用组策略委派给用户安装打印机驱动或其它的设备驱动程序的能力，并通过限制管理凭据的分发来保证安全性。它在策略中的设定是通过管理员指定描述设备驱动程序的设备安装类GUIDs列表实现的。其它的组策略更新
其它的组策略更新
为了让Windows管理员能够更有效率的管理新的环境，新操作系统在其它方面的更新也值得一提。这些更新有些是以前作为独立下载的组件，现在作为操作系统的标准配置，另外有些是属于操作系统新特性相应的策略配置。总而言之，有了它们，管理员的日子都会好过得多。 组策略管理控制台（GPMC）。自发布之初就倍受欢迎的GPMC，组策略管理控制台在Windows XP和2003中是作为一个独立的组件供免费下载的，现在它已经直接和组策略编辑器一起作为标准的工具集成在了新的操作系统中。除此以外，随着新的管理模板文件ADMX的发布，GPMC将可以从这种新的基于XML，资源独立的策略定义文件功能中受益。 增强的IE策略。在新的操作系统中，全方位功能的策略设定将使你不再需要Internet Explorer Maintenance Extension （IEM）或者Internet Explorer管理工具包（IEAK）这样的工具，只需要组策略就可以完成绝大部分的功能管理。 反病毒策略。新增的反病毒策略可以让你集中管理评估高危附件的行为，以及对于不同安全等级附件的操作，这些策略可以应用于Windows XP Professional SP2以及之后的版本。 后台智能传输服务（BITS）策略。虽然在之前版本的操作系统中就已经存在了后台智能传输服务策略选项，但在Vista中你可以更灵活地控制域中点到点的传输请求和内容存活周期等选项，并利用新操作系统的BITS Neighbor Casting功能来加速域内点到点的文件传输。 客户端帮助选项。通过新的策略来控制用户访问的帮助系统可能会包含非信任内容。你可以把用户指向帮助或是本地的脱机内容。 磁盘故障诊断。该策略可以控制由磁盘故障诊断所显示的信息等级，以及基于S.M.A.R.T.技术的磁盘进行磁盘诊断时的执行级别。比如在用户支持S.M.A.R.T.技术的硬盘报告故障时你可以定制一则信息提示他备份磁盘上的文件等。 视频播放。Vista可以让你把数字视频设备中录制的视频导入并保存到一个文件，你可以利用这个策略控制导入的视频是否可以播放。 企业QoS。不知道你是否还在为公司日益严重的网络堵塞现象苦恼不已？不断升级网络硬件显然并不总是王者之剑。Vista中的这项新策略设置可以让你集中的控制Windows Vista网络传输来解决网络拥塞问题。你并不需要对应用程序进行任何修改，就可以制订灵活的策略来优先处理不同差分服务代码点（Differentiated Services Code Point，DSCP）标记的优先级和吞吐率（有关DSCP的更多介绍及其工作原理，请参考微软的文章“差分服务代码点（DSCP）概述”，它位于http://www.microsoft.com/technet/prodtechnol/windowsserver2003/zh-chs/library/ServerHelp/d818f74b-de00-4590-a44f-56fce1b06f3c.mspx?mfr=true）。 混合硬盘。虽然混合硬盘（Hybird Hard Disk）并不是Vista的必需要求，但显然微软正在操作系统级别为混合硬盘提供更多的支持。你可以通过组策略集中控制域内机器上安装的混合硬盘（带有非易失性缓存）的一些属性设置，例如非易失性缓存的使用，以及启动和恢复时的优化等。
网络：隔离。作为微软在网络安全方面的核心部件之一，该策略可集中管理三个组件：Health Registration Authority（HRA），Internet认证服务（IAS）和网络访问保护（NAP）。有关网络访问保护的更多信息，你可以参看微软的文章“网络访问保护：常见问题”http://www.microsoft.com/china/windowsserver2003/techinfo/overview/napfaq.mspx。
网络：有线与无线网络。该策略采用一个通用的架构来集中化管理现有和未来的媒体类型。 应用程序界面管理。你可以在Vista中管理工具栏，任务栏，开始菜单和图标的显示。例如，移除开始菜单中的搜索链接等。 界面初体验，登录以及特权。下列组策略在Vista中得到了扩展：漫游用户配置文件，重定向文件夹，登录对话框屏幕。 共享，同步与漫游。由于Vista新增了协作方面的一些特性，例如同步中心等，你可以自定义不同设备和媒体的自动运行，创建和移除合作关系，同步日程以及操作，工作区的创建和访问等。 视觉效果。你可以配置的桌面显示项目有：AERO玻璃效果显示，新的屏幕保护操作，搜索和视图等。 Tablet PC。你可以配置的Tablet PC选项包括：Tablet Ink Watson和个性化功能、Tablet PC桌面功能、输入面板功能以及Tablet PC触摸输入等。
终端服务。终端服务的安全性一直为人们所关注，在Vista中，你可以利用一些选项增强终端服务连接的安全性、易用性和可管理性，例如，允许或禁止支持的其它设备重定向到一个终端服务会话中的远程计算机，要求使用传输层加密（TLS）1.0或自身的远程桌面协议（RDP）加密，或协商一种安全方法等。
排错与诊断。利用自动检测和问题修复来控制诊断等级，从而向用户说明协助的解决方案。可用于：应用程序问题，内存泄漏检测（Leak Detection）和资源分配。 用户账号保护。你可以利用组策略配置用户账号的以下选项：用来确定提高权限提示的操作、在应用程序安装期间提升用户账号权限、识别最低权限用户账号和把文件以及注册表写入错误指定到每个用户位置。 Windows错误报告。你可以只禁用Windows或所有组件的Windows反馈。在缺省情况下，Windows反馈对于所有的Windows组件都是可用的。建议及展望 组策略管理虽然方便，但一直以来，很多管理员对于其功能上的缺陷和定制上的不便感到很不爽。新操作系统中全新的组策略文件格式ADMX和那些期待以久的管理上的完善将使组策略在未来的管理中成为越来越顺手的神兵利器。作为一次自下而上的更新，新操作系统中的组策略带给我们的不仅仅是管理上的全新体验，在域的整体运作性能和可靠性上也带来了让人耳目一新的改变。不过，我们也看到了这些新的特性都是以新的操作系统为前提。现在看来，如何让现有的用户平滑而又不是非常痛苦地迁移到新的操作系统中，才是诸位管理员和微软关心的头等大事。
