问题标签 [group-policy]

我刚刚将我们公司的域控制器从 NT 4.0 升级到了 Windows 2008 Server。我使用了就地升级路径，首先从 NT 4.0 升级到 Windows 2003 Server，然后从 2003 Server 升级到 2008 Server。最初的 NT 4.0 域名称为Company。新域是Company .local。我已确认用户和计算机信息已正确迁移，新域已运行一周，几乎没有问题。

我现在遇到的问题是为一组用户设置 GPO 用户登录脚本。我相信我已经正确设置了 GPO，但是登录后脚本没有在客户端上执行。

经过调查，我注意到如果我直接导​​航到域控制器，我可以在登录后手动从客户端执行脚本（批处理文件）：\\ ServerName \SysVol\ Company .local\Policies\{GUID}\User\Scripts\Logon

但是，如果我的理解是正确的，客户端在执行登录脚本时不会使用此路径，而是使用域（林？）名称作为源（在这种情况下域和林名相同）：\ \ Company .local\SysVol\ Company .local\Policies\{GUID}\User\Scripts\Logon

从客户端手动执行此批处理文件时，我收到一个“打开文件 - 安全警告”对话框，声称客户端无法验证发布者。上面的两条路径本质上是同一个地方，只是用不同的路径访问。

知道为什么客户端在通过 \\ Company .local 而不是 \\ ServerName访问时不信任来自他们自己的域控制器的内容吗？还有其他地方我应该寻找可能的原因吗？

如何在应用程序/安全性/系统以外的事件日志上设置“根据需要覆盖”设置？具体来说，除了可能添加的任何其他未来日志之外，我还想将此应用于 Powershell 和 Windows Powershell 日志。这需要同时应用于服务器 2003 和 2008。

我的公司在现场有相当多的客户端笔记本电脑。这些笔记本电脑运行的是 Windows Vista Home 版。

最近有人问我是否可以找到一种方法来禁用用户调整系统时间的能力。

• 我的第一个想法是使用 gpedit，但我发现这在家庭版中不可用。

• 然后我寻找我可以使用的注册表编辑，但我画了一个空白。显然 gpedit 的用户权限相关位不涉及注册表设置。

我们通过在笔记本电脑上运行的软件自动调整系统时间。这意味着我们需要一种方法来禁用用户调整日期/时间的能力，但允许我们的程序（在该用户的上下文下运行）为他们调整它。

有没有人有任何想法，或者知道让 gpedit 在家庭版上工作的方法？

（我们的软件基于 .Net 并具有自动更新功能，因此如果需要，我们可以在解决方案中利用它）。

更新：

Vista Home 版中也没有本地安全设置。

是否可以编写任何脚本或设置（自动运行文件？）来禁用 USB 闪存驱动器的格式化？ （Win XP，通过 Windows 资源管理器 > 格式）

我知道write-protection，但我不想完全阻止修改文件，而是像组策略设置可以做什么？

编辑：我真正要求的是注册表设置，否则我可以在 USB 驱动器启动时修改它以告诉 Win XP 不要格式化驱动器 X：

我在网络共享上有一些 .NET 程序集，我需要将 FullTrust 访问权限授予我的所有用户。使用组策略执行此操作的最佳方法是什么？

我有一个与用户一起运行的本地应用程序，而不是有一个指示该用户无法关闭电脑的组策略。

然后我使用你的代码，但是当我通过用户和密码要求模拟我的应用程序时。我收到下一个错误

System.Management.ManagementException：无法将用户的凭据用于本地连接

问候

In IE6 there was a registry key hidden away that would allow you to enable autocomplete but only for usernames, not passwords.

This key no longer has any effect in IE8. I can either enable or disable autocomplete for usernames and passwords, but not just one of the two.

What I'm looking for is a way to enable autocomplete for usernames, but disable it for passwords.

Is there a way to do this in IE8?

我安装了一个 Windows 应用程序，其配置设置来自 Windows Server 2003 机器上的 GPO（用户配置）。GPO 在客户端的注册表上设置一些特定于应用程序的注册表项。

如果我通过应用程序更改客户端计算机上的这些注册表设置，这些注册表设置会在我下次登录时或在任何其他时间点被 GPO 覆盖吗？

我不希望我的修改被 Windows Server 的 GPO 设置覆盖。

我如何做到这一点？

我正在编写一个 C# 程序，它将根据 Windows 组策略设置“密码必须满足复杂性要求”来强制执行密码复杂性。具体来说，如果该策略在本地计算机（如果它不是域的一部分）或域安全策略（对于域成员）上设置为启用，那么我的软件需要强制执行复杂的密码以实现其自身的内部安全。

问题是我不知道如何阅读该 GPO 设置。Google 搜索表明我可以使用以下两个 API 之一读取 GPO 设置：.NET Framework 中的 System.DirectoryServices 库和 Windows Management Instrumentation (WMI)，但到目前为止我还没有取得任何成功。

任何见解都会有所帮助。

是否可以以编程方式检查帐户是否具有“作为服务登录”的权限。我知道如何手动设置和检查它，但我想从 C# 代码中检查它。

我需要检查是否在域级别启用了此权限，而不仅仅是在该特定服务器上。

编辑：我正在寻找是否在域组策略级别定义了用户“作为服务登录”。