04 使用PowerShell管理组策略01

组策略PowerShell模块

随着Windows 7和Windows Server 2008 R2的发布，微软发布组策略模块一组25个PowerShell命令，它提供GPO管理员要管理许多相同的任务，他们将执行使用GPMC。

点击这里会免费获得 GPMC 的API  cmdlet
http://sdmsoftware.com/group-policy-management-products/freeware-group-policy-tools-utilities/

PowerShell模块时会自动安装安装GPMC做为远程服务器管理工具（RSAT）安装，以下面的图1所示的一部分：

安装GPMC和相关的PowerShell模块

一旦安装GPMC，您能够加载简单地经过组策略模块打开PowerShell控制台会话和打字的：

Import-Module GroupPolicy

为了获得一个模块中可用的cmdlet列表，只需键入：

PS> Get-Command –Module GroupPolicy

组策略模块涵盖了如下任务，一般你会GPMC内GUI执行：

• 建立/删除/重命名/获取的GPO

• 备份/还原/复制/导入的GPO

• 建立/获取入门GPO

• 获取/设置GP继承

• 获取/设置GPO权限

• 建立/删除/修改GPO连接

• GPO设置的RSoP报告

• 获取/设置/删除管理模板设置

• 获取/设置/删除GP偏好注册表政策

固然，有一些是不能执行的功能

• 不能获得SOM或GPO GPO连接*

• 没法设置WMI，除由GPO（而后只获得支持）

• 没法写入到GPO权限拒绝ACE

• 没法写入SOM（例如连接/ RSOP /规划权限）*

• 没法读取列表中现有GPMC GPO备份*

• 不能读/写的GPO设置管理模板外或首选项注册表策略*

如今 我开始键入powershell指令在建立一个新的gpo ，管理模块策略设置，最后把它链接到OU，GPO上
d

$key = HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions'New-GPO 'IE No Help Policy' | Set-GPRegistryValue -Key $key `-ValueName 'NoHelpMenu' -Type DWORD -Value 1 | Set-GPPermissions -Replace `-PermissionLevel None -TargetName 'Authenticated Users' -TargetType group | `Set-GPPermissions -PermissionLevel gpoapply -TargetName 'Marketing Users' `-TargetType group | New-GPLink -Target 'OU=Marketing,DC=catngis,DC=com' –Order 1

解析一下cmdlet指令

第一个cmdlet调用新的GPO，咱们建立一个GPO名为“IE没有帮助的策略”。

下一个cmdlet，称为set-GPRegistryValue，是一个在个人新创建的GPO设置一个管理模板策略，你会注意到此cmdlet上的参数设置相关的注册表值的帮助。

模板策略问题，而不是一个“友好”的路径，为了使用此cmdlet，你须要知道相关的注册表键值特定的帮助。

模板策略以前，您可使用此策略设置，我用的注册表项和HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions \NoHelpMenu 对应GP编辑器中的一个路径下的“管理模板”

-特别是“Computer Configuration\Policies\Administrative Templates\Windows Components\Internet Explorer\Turn off displaying the Internet Explorer Help Menu，
肯定基本ADMX文件注册表位置设置策略。

以后咱们设置的注册表策略项目，，咱们称为set-GPPermissions 删除身份验证的用户ACE GPO的安全。这是默认的ACE，容许全部用户和计算机处理，GPO被应用到一个GPO。

在上面的例子，咱们但愿将此GPO只能处理“营销用户”组的成员。所以，咱们设置GPPermissions的调用添加营销应用组策略（gpoapply）授予访问权限的用户组。

最后，咱们新的GPO使用NEW-GPLink OU  cantgis.com域连接，咱们就大功告成了！咱们如今有一个功能齐全，彻底无限制的，已经启用的连接GPO。

好了 如今咱们去看看咱们新设置的GPO吧

打开GPMC

Import-Module grouppolicy              
Get-GPO –All       (输出得到GPO)

好了 咱们以后 会讲故障排除 关于组策略（Group Policy Troubleshooting）