邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: [分享]域里的机器不能修改自己的机器名称的几种方法 [打印本页]

作者: jaffas1101 时间: 2006-1-4 09:43
标题: [分享]域里的机器不能修改自己的机器名称的几种方法
对于这个要求，基本上我们有两个方案： 
一、通过组策略完成控制，具体步骤如下： 
注：此处指的“组策略”均指整个域的组策略。 
 
1）通过设定域的组策略-〉用户策略-〉管理模板-〉桌面，启用Remove Properties from the My Computer context menu策略。注：修改的必须是整个域的组策略，而非该Domain Controller的组策略，否则将无法影响到域中的其他机器：这样做的效果就是在客户机上，当用户右击“我的电脑”时，看不到“属性”菜单，从而也就无法修改机器名。 
2）我们还可以在域的组策略-〉用户策略-〉管理模板-〉控制面板，启用Hide specified Control Panel applets策略。 
这样做的效果就是在客户机上，用户在“控制面板”中看不到“系统”图标(sysdm.cpl)，从而也无法修改机器名。 
 
3）修改好以上组策略后，您需要到各个客户端分别执行一次组策略刷新，强制客户端采用新的用户组策略。 
对于Windows XP & Windows 2003机器，执行如下命令：gpupdate /target:user /force 
对于Windows 2000机器，执行如下命令：secedit /refreshpolicy user_policy /enforce 
建议您同时启用以上两个组策略。需要说明的是，这种方法只能防止普通用户无法直观地修改自己的机器名，我们完全可以通过其他途径（例如编程手段）更改掉机器名，那些是无法防止的。 
二、通过更改系统中下面的注册表键的权限来进行控制： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters针对这个注册表键，设定它的权限，让所有的有权限访问的用户或者组只有读的权限。这个方法，既可以在每台客户机上分别使用，也可以在DC上通过组策略统一应用，即： 
1）在域的组策略中的计算机设置-〉Windows 设置-〉Security Setting->Registry，右键单击该节点选择“Add Key” 
2）将MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters这个键值添加进来，同时设定权限 
这样做的效果是用户不能更改计算机的名字，但是却不能阻止用户改变机器的组或者domain的关系。 
同样，只要修改了域的组策略，都需要在客户端运行方法一种提供的命令强制刷新客户端所应用的组策略。 
附：请按如下方法进入组策略： 
1. 在DC上打开Active Directory用户和计算机 
2. 右击当前域名，选择属性-〉组策略，选中要修改的组策略并单击“编辑”，即可打开的域的组策略编辑器。

作者: ggxyz 时间: 2006-8-1 16:53
标题: 好
此问题困了我很久

作者: jaffas1101 时间: 2006-8-1 17:02
找到答案就好！

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)