问题标签 [gpo]

我们有一个 Windows 2008 域。我们曾经有指向“\nas\homes\\Profile.V2”的漫游配置文件。现在我们要切换到本地配置文件 + 重定向文件夹（桌面和我的文档）。

这就是我们所做的：

• 进入 AD 并清空“配置文件路径”和“主文件夹”属性。
• 进入用户计算机，然后进入计算机>用户配置文件>从“漫游”更改为“本地”
• 应用桌面和我的文档重定向策略。

现在，桌面和我的文档文件夹已正确重定向。问题是配置文件。例如，AppData 文件夹仍然是与漫游配置文件一起使用的文件夹，因此如果我删除它，客户端计算机上的用户配置文件将无法使用。

我如何告诉客户他们需要将配置文件保存在本地计算机上？

我希望我已经清楚地解释了这个问题。

提前致谢。

马泰奥

编辑

我没有提到有将 AppData 重定向到共享文件夹的策略，但现在它已被禁用（通过客户端上的 gpresult 检查）。不幸的是，AppData 文件夹仍然指向那里。

我正在寻找一种通过代码列出应用（链接和继承）到特定 OU 的所有 GPO 的方法。

我知道有一个属性表示链接的 GPO，称为 GPLink，但它只提供直接链接的 GPO。

我搜索了谷歌，发现有一个 gpmgmt COM 对象，但我不明白如何将它用于我的目的，甚至可能的话。

谢谢你的帮助。

正如标题所说 - 我们有一个域，其 DC 运行 Windows Server 2003，它允许任何经过身份验证的用户将工作站添加到域中。目前在默认域策略中，我们已将其配置为仅允许管理员拥有此功能（此外，此策略适用于经过身份验证的用户）：

Windows 设置 -> 安全设置 -> 本地策略/用户权限分配 -> 将工作站添加到域：BUILTIN\Administrators、DOMAIN\Domain Admins

我们错过了什么，或者如何配置错误以继续允许任何经过身份验证的用户将工作站添加到域？

在此先感谢您的帮助。

我有这个带有 GPO 的设置，可以作为登录脚本运行，显然是为了为客户端映射驱动器。

死的简单。如果我输入一个特定的用户名来代替变量，那么它就可以工作。另外，如果我直接在客户端机器上运行这个脚本，它就可以工作。

根据微软的说法，cmdlet Set-GPPermissions接受选项“-replace”：

“这确保了现有的权限级别被新的权限级别所取代。”

我从 PowerShell 导入 GPO。之后我想设置安全过滤器。导入后，在设置安全过滤器之前，GPO的安全过滤为“Authenticated Users”。现在我想删除该过滤器选项并将其替换为“myGroup”。为此，我使用以下命令：

结果是添加了一个引用“myGroup”的新安全过滤器，但组“Authenticated Users”并未被删除。Powershell cmdlet 不是在替换过滤器，而是在添加它。

提示？

提前致谢！

我一直在网上搜索，但我没有找到任何结果，虽然它看起来很方便！

背景信息：使用基本的 netlogon 批处理文件，我使用在临时文件夹中写入检查文件来检查此脚本是否已经运行，因此不会占用太多时间。但是这些天来，我们在政策上做所有事情。

不久前，我制作了一个小 vbs，它添加​​了一个带有来自 AD 的用户信息的 Outlook 签名。目前用户手动运行此脚本，因为它只能在 Outlook 配置文件创建后才能成功运行。我当然可以在每次登录时运行我的 VBS 脚本并检查签名文件是否已经存在，如果存在则退出......但必须有更好的方法！..我希望..

这就是我想做的：使用 GPO WMI 过滤来检查文件是否存在（即 Select * From CIM_Datafile Where Name <> '%APPDATA%\outlook.v1'）。如果为真：启动我的 vbs。在我的脚本中，我将检查 Outlook 配置文件是否存在并运行脚本的其余部分并在我的脚本末尾创建 Outlook.v1 文件。

这样，每次只有非常有限的没有 Outlook 的用户会运行这个 vba。

语法

当然是错的..所以真正的问题是：我如何在 WMI 过滤中引用基于用户的设置..？

是否可以通过使用活动目录组但不指定 pc 来设置 GPO？

我有 3 个 Active Directory 组，我想在他们登录的电脑上启用 MSMQ。可以这样做吗？如何？

谢谢

我有一个 GPO，它阻止所有应用程序打开，GPO 中列出的应用程序除外。我正在尝试双击设置为使用 Infopath 打开的 XML 文件。Infopath 在允许的应用程序列表中。为什么我会收到此警报？如果我打开 Infopath 并使用它来打开文件，它工作正常。如果您假设它正在尝试使用 Internet Explorer 打开，那么它也在允许的应用程序列表中。

我需要一种简单的方法来通过 c++/c#/powershell 脚本追溯禁用/启用 Windows 7 中的所有 USB 设备，而无需重新启动机器。

我知道更改 GPO 是一种选择，但我似乎找不到任何无需重新启动即可执行此操作的实现。

请详细解释您的解决方案，我是 Windows 管理的新手。

我只是希望能够以编程方式执行该gpedit.msc操作。我正在尝试将这些键的值设置为 1 并更新本地组注册表。

在 gpedit.msc 中：

本地计算机策略/计算机配置/管理模板/系统/可移动存储访问

ValueName：所有可移动存储类：拒绝所有访问

值： 1（将此设置为 1）

本地计算机策略/计算机配置/管理模板/Windows 组件/自动播放策略

ValueName : 关闭自动播放

值： 1（将此设置为 1）

我认为关键是IGroupPolicyObject在 C++ 中使用。但是，我找不到任何我可以理解的文档。

我的应用程序需要禁用/启用所有 USB 访问，而无需重新启动 Windows 7。