刚做完2003,想做网吧服务器,怎么设置才能安全

Windows Server 2003 安全性指南介绍
Windows Server 2003安全指南概述
安全性指南概述
更新日期：2003年6月20日
"Windows Server 2003安全指南"旨在提供一套易于理解的指南、工具和模板，帮助用户维护一个安全的Windows Server 2003环境。尽管该产品在默认安装状态下非常安全，但是您仍然可以根据实际需要对大量安全选项进行进一步配置。该指南不仅提供了安全方面的建议，而且提供了与安全风险有关的背景信息，说明了这些设置在减轻安全威胁的同时，可能会对环境产生的影响。
指南解释了三种不同环境所具有的不同需求，以及每一种规定的服务器设置在客户机依赖关系方面所要解决的问题。我们所考虑的三种环境分别是：旧有客户机（Legacy Client）、企业客户机（Enterprise Client）和高安全性（High Security）。
"旧有客户机"设置设计用来工作在运行Windows Server 2003域控制器和成员服务器的Active Directory域中，域中还运行基于Windows 98、Windows NT 40以及其它更新 *** 作系统的客户机。
"企业客户机"设置设计用来工作在Windows Server 2003域控制器和成员服务器的Active Directory域中，域中同时还运行基于Windows 2000、Windows XP以及其它更新 *** 作系统的客户机。
"高安全性"设置也设计用来工作在Windows Server 2003域控制器和成员服务器的Active Directory域中，域中同时还运行基于Windows 2000、Windows XP以及其它更新 *** 作系统的客户机。但是，"高安全性"设置具有很多限制，以致许多应用程序无法正常工作，同时服务器的性能也会有轻微的降低，对服务器的管理也更具挑战性。
这些不同级别的强化措施针对具有基线安全性的成员服务器和各种不同的服务器角色。我们将在下面对包括在本指南中的文档进行讨论。
指南内容
出于易用性的考虑，指南的内容被划分为几个不同的部分。其中包括安全性指南及其姐妹篇"威胁和对策：Windows Server 2003 和 Windows XP中的安全设置"、测试指南、交付指南和支持指南。
Windows Server 2003安全指南
Windows Server 2003安全指南 分为12章。每一章都建立在一个端对端的过程之上，该过程对于在您的环境中实现和维护wins2的安全来说是必需的。前几章的内容介绍了强化组织中的服务器所需的基础知识，其余章节则详细介绍了强化每种服务器角色所需进行的 *** 作步骤。
第 1 章： Windows Server 2003安全指南介绍
本章介绍了Windows Server 2003安全指南，并且对每一章的内容进行了简单概述。
第 2 章：配置域的基础结构
本章解释了基线域环境的构建方法，以便为保护Windows Server 2003基础结构提供指导。本章首先讲解了域级别的安全设置选项和相应对策。然后对Microsoft Active Directory®服务和组织单位（OU）的设计方法以及域策略进行了深入介绍。
第 3 章：创建成员服务器基线
本章解释了指南所定义三种环境中相关服务器角色的安全模板设置和其它对策。本章着重介绍了为将在指南后文中进行讨论的服务器角色强化建议建立基线环境的方法。
第 4 章：强化域控制器
在维护各种Windows Server 2003 Active Directory 环境的安全性方面，域控制器服务器角色是最重要的服务器角色之一。本章重点介绍了隐藏在我们建议采用的域控制器组策略后面的一些安全考虑事项。
第 5 章：强化基础结构服务器
在本章中，基础结构服务器被定义为动态主机控制协议（Dynamic Host Control Protocol，DHCP）服务器或 Windows Internet名称服务（Windows Internet Name Service，WINS）服务器。本章详细介绍了在环境中的基础结构服务器上进行安全设置能够为您带来的好处，这些设置不能通过成员服务器基线策略（Member Server Baseline Policy，MSBP）得到应用。
第 6 章：强化文件服务器
本章关注于文件服务器角色以及对该服务器角色进行强化将要面临的困难。本章详细展示了对文件服务器进行安全方面的设置所能够为您带来的益处，这些安全设置均无法通过成员服务器基线策略（MSBP）进行应用。
第 7 章：强化打印服务器
打印服务器是本章所要讲述的重点。再一次地，服务器提供的最重要服务都需要使用与Windows NetBIOS相关的协议。本章详细介绍了能够加强打印服务器安全性的设置，这些设备不能通过成员服务器基线策略（MSBP）得到应用。
第 8 章：强化IIS服务器
本章各个小节详细介绍了能够增强您所在环境中的IIS服务器安全性的设置。我们在此强调了安全监视、检测和响应等工作的重要性，以确保这些服务器保持安全状态。
第 9 章：强化IAS服务器
Internet Authentication Servers（Internet身份验证服务，IAS）提供了Radius服务，这是一种基于标准的身份验证协议，旨在对远程访问网络的客户机身份进行鉴别。本章对IAS Server能够从中受益的安全设置进行了详细介绍，这些设置不能通过成员服务器基线策略（MSBP）应用到服务器上。
第 10 章：强化证书服务服务器
证书服务（Certificate Services）为在服务器环境中构建公共密钥基础结构（PKI）提供了所需的加密和证书管理服务。本章对证书服务服务器能够从中受益的安全设置进行了详细介绍，这些设置不能通过成员服务器基线策略（MSBP）应用到服务器上。
第 11 章：强化堡垒主机
堡垒主机是客户机能够通过Internet进行访问的服务器。我们在本章中详细介绍了堡垒主机能够从中受益的安全设置，这些设置不能通过成员服务器基线策略（MSBP）应用到服务器上，我们同时还介绍了在基于Active Directory的域环境中应用这些设置的方法。
第 12 章：结论
本章对整个安全性指南进行了总结，并且通过简短的概述性语言对指南前面各章中的所有要点进行了回顾。
威胁和对策：Windows Server 2003 和 Windows XP中的安全设置
本指南的目的在于为Microsoft® Windows® *** 作系统当前版本中可以使用的安全设置提供一个参考。它是"Windows Server 2003安全指南"的姐妹篇。
对于我们在指南中讨论的每一种设置，我们都介绍了该项设置可以防范的安全性威胁，可以应用的不同对策，以及这些设置选项对系统性能可能产生的影响。
测试指南
本文档使得实施了Windows Server 2003安全指南 的企业能够对他们的解决方案实现方式进行测试。文档还介绍了 Windows Server 2003安全指南测试小组自己在测试过程中获得的真实体验。
本文描述了Windows Server 2003安全指南 测试工作的范围、目标和策略。文章还介绍了测试环境、测试案例细节、发布标准以及测试结果。
交付指南
本指南为商业规划人员、IT系统设计人员或者项目经理提供了一些一般性信息，为他们实施本解决方案以及完成部署本解决方案所必须完成的工作、资源类型、相关知识以及所需的大概费用提出了建议。这些信息将通过通往一般性解决方案框架的指针以及针对本安全解决方案而专门提供的工具交付给用户。
支持指南
本文档的目标读者是那些正在实施Windows Server 2003安全指南 的部署小组和那些正在为该解决方案提供支持和维护服务的客户。
文档旨在围绕解决方案软件组件的支持方式提供一些信息，其中包括：逐级提交路径、支持服务和资源以及不同的支持服务级别。
下载和资源
下载 Windows Server 2003安全指南
下载"威胁和对策：Windows Server 2003 和 Windows XP中的安全设置"
提交您的反馈意见
我们希望听到大家对本指南的反馈意见。我们特别希望了解大家对以下主题的反馈意见：
指南中提供的信息对您有帮助吗？
指南中介绍的分步 *** 作过程准确吗？
指南的各章内容的可读性如何？是否能够引起您的兴趣？
您从整体上如何对本指南进行评价？
请将您的反馈意见发送到以下电子邮件地址：secwish@microsoftcom 我们期待着您的回音。
windows server2003是目前最为成熟的网络服务器平台，安全性相对于windows 2000有大大的提高,但是2003默认的安全配置不一定适合我们的需要，所以，我们要根据实际情况来对win2003进行全面安全配置。说实话，安全配置是一项比较有难度的网络技术，权限配置的太严格，好多程序又运行不起，权限配置的太松，又很容易被黑客入侵，做为网络管理员，真的很头痛，因此，我结合这几年的网络安全管理经验，总结出以下一些方法来提高我们服务器的安全性。
第一招：正确划分文件系统格式，选择稳定的 *** 作系统安装盘
为了提高安全性，服务器的文件系统格式一定要划分成NTFS（新技术文件系统）格式，它比FAT16、FAT32的安全性、空间利用率都大大的提高，我们可以通过它来配置文件的安全性，磁盘配额、EPS文件加密等。如果你已经分成FAT32的格式了，可以用CONVERT 盘符 /FS：NTFS /V 来把FAT32转换成NTFS格式。正确安装windows 2003 server，可以直接网上升级,我们安装时尽量只安装我们必须要用的组件，安装完后打上最新的补丁，到网上升级到最新版本！保证 *** 作系统本身无漏洞。
第二招：正确设置磁盘的安全性,具体如下(虚拟机的安全设置，我们以asp程序为例子)重点：
1、系统盘权限设置
C:分区部分：
c:\
administrators 全部(该文件夹，子文件夹及文件)
CREATOR OWNER 全部(只有子文件来及文件)
system 全部(该文件夹，子文件夹及文件)
IIS_WPG 创建文件/写入数据(只有该文件夹)
IIS_WPG(该文件夹，子文件夹及文件)
遍历文件夹/运行文件
列出文件夹/读取数据
读取属性
创建文件夹/附加数据
读取权限
c:\Documents and Settings
administrators 全部(该文件夹，子文件夹及文件)
Power Users (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
SYSTEM全部(该文件夹，子文件夹及文件)
C:\Program Files
administrators 全部(该文件夹，子文件夹及文件)
CREATOR OWNER全部(只有子文件来及文件)
IIS_WPG (该文件夹，子文件夹及文件)
读取和运行
列出文件夹目录
读取
Power Users(该文件夹，子文件夹及文件)
修改权限
SYSTEM全部(该文件夹，子文件夹及文件)
TERMINAL SERVER USER (该文件夹，子文件夹及文件)
修改权限
2、网站及虚拟机权限设置(比如网站在E盘)
说明：我们假设网站全部在E盘 >

禁止运行指定程序
系统启动时一些程序会在后台启动，这些程序通过“系统配置实用程序”(msconfig)的启动项无法阻止， *** 作起来非常不便，通过组策略则非常方便，这对减少系统资源占用非常有效。通过启用该策略并添加相应的应用程序，就可以限制用户运行这些应用程序。具体步骤如下： 「开始」菜单，在“运行”框中输入“gpeditmsc”并回车，打开组策略对象编辑器。 配置→管理模板→系统”，然后在右边的窗格双击“不要运行指定的Windows应用程序”(如图1所示)。 图1　双击“不要运行指定的Windows应用程序” 程序如“Wgatrayexe”即可。 图2　添加要阻止的程序
当用户试图运行包含在不允许运行程序列表中的应用程序时，系统会提示警告信息。把不允许运行的应用程序复制到其他的目录和分区中，仍然是不能运行的。要恢复指定的受限程序的运行能力，可以将“不要运行指定的Windows应用程序”策略设置为“未配置”或“已禁用”，或者将指定的应用程序从不允许运行列表中删除（这要求删除后列表不会成为空白的）。
这种方式只阻止用户运行从Windows资源管理器中启动的程序，对于由系统过程或其他过程启动的程序并不能禁止其运行。该方式禁止应用程序的运行，其用户对象的作用范围是所有的用户，不仅仅是受限用户，Administrators组中的账户甚至是内建的administrator帐户都将受到限制，因此给管理员带来了一定的不便。当管理员需要执行一个包含在不允许运行列表中的应用程序时，需要先通过组策略编辑器将该应用程序从不运行运行列表中删除，在程序运行完成后，再将该程序添加到不允许运行程序列表中。需要注意的是，不要将组策略编辑器（gpeditmsc）添加到禁止运行程序列表中，否则会造成组策略的自锁，任何用户都将不能启动组策略编辑器，也就不能对设置的策略进行更改。
提示：如果没有禁止运行“命令提示符”程序的话，用户可以通过cmd命令，从“命令提示符”运行被禁止的程序，例如，将记事本程序(notepadexe)添加不运行列表中，通过桌面和菜单运行该程序是被限制的，但是在“命令提示符”下运行notepad命令，可以顺利的启动记事本程序。因此，要彻底的禁止某个程序的运行，首先要将cmdexe添加到不允许运行列表中。
如果禁止程序后组策略无法使用可以通过以下方法来恢复设置：重新启动计算机，在启动菜单出现时按F8键，在Windows高级选项菜单中选择“带命令行提示的安全模式”选项，然后在命令提示符下运行mmcexe。
在打开的“控制台”窗口中，依次点击“文件→添加/删除管理单元→添加→组策略→添加→完成→关闭→确定”，添加一个组策略控制台，接下来把原来的设置改回来，然后重新进入Windows即可。
锁定注册表编辑器
注册表编辑器是系统设置的重要工具，为了保证系统安全，防止非法用户利用注册表编辑器来篡改系统设置，首先必须将注册表编辑器予以禁用。具体 *** 作步骤如下： 配置→管理模板→系统”。 注册表编辑工具”策略(如图3所示)。 图3　阻止访问注册表编辑工具
图4　双击“阻止访问注册表编辑工具”
此策略被启用后，用户试图启动注册表编辑器(Regeditexe 及 Regedt32exe)的时候，系统会禁止这类 *** 作并d出警告消息。
若要防止用户使用其他管理工具，请使用“只运行指定的 Windows 应用程序”设置。
提示：解除注册表锁定与禁用注册表编辑器方法步骤相同，双击右侧窗格中的“阻止访问注册表编辑器”，在d出的窗口中选择“已禁用”或“未配置”，点击“确定”按钮后退出组策略编辑器，即可为注册表解锁。
这项设置是一把双刃剑：如果设为“已禁用”，则有一些正常软件（大部分软件需要与注册表打交道）有可能不能使用，甚至无法安装；如果设置为“已启用”，则在杀毒软件的监护之外，为恶意程序留下隐患。
阻止访问命令提示符
命令提示符下有许多危险的 *** 作，要阻止非法用户使用命令提示符窗口(Cmdexe)，远离各种不可预料的风险，具体步骤如下： 组策略对象编辑器。 组策略对象编辑器窗格左侧的树形图中依次展开“用户配置→管理模板→系统”，在右侧窗格中双击“阻止访问命令提示符”(如图5所示)，打开目标策略属性设置对话框。 图5　双击“阻止访问命令提示符” 命令提示符”属性对话框中勾选已启用(如图6所示)，按“确定”即可。 图6　“阻止访问命令提示符”属性对话框
如果启用这个设置，用户试图打开命令窗口，系统会显示一个消息，解释设置阻止这种 *** 作。这个设置还决定批处理文件(cmd和bat)是否可以在计算机上运行。
提示：如果计算机使用登录、注销、启动或关闭批文件脚本，不能防止计算机运行批处理文件；也不能防止使用终端服务的用户运行批处理文件。
禁止修改系统还原
“系统还原”是Windows 7的一项很重要的功能，如果您对计算机的安全性要求很高，或是计算机是一台公用的计算机，有很多人会去使用，那么为了保证系统的可 *** 作性，将“系统还原”所占用的磁盘空间设置得大一些很有必要。但是如果这个设置被人更改，就会造成以前创建的还原点中信息的丢失。
您可以在“组策略”中禁止对“系统还原”的配置进行修改。具体 *** 作步骤如下： 计算机配置→管理模板→系统→系统还原”，在右侧窗格中双击“关闭配置”(如图7所示)，打开目标策略属性设置对话框。 图7　双击“关闭配置” 配置”属性对话框中勾选“已启用”，按“确定”。“系统还原”配置界面上配置系统还原的选项就会消失。如果选择“已禁用”(如图8所示)，则仍可看见配置界面，但是，所有系统还原配置默认值都有效。 图8　“关闭配置”属性对话框
注意：该配置必须重新启动计算机才会生效。
设置虚拟内存页面
对于重要文件，您可以通过加密和设置权限以禁止其他无关人员访问，不过您可知道，如果真的有必要，他人完全可以通过其他途径获得您的机密信息，那就是虚拟内存页面文件。虚拟内存页面文件作为物理内存的补充，用途是在硬盘和内存之间交换数据，而虚拟内存页面文件本身就是硬盘上的一个文件，它位于系统所在硬盘分区的根目录中，文件名为pagefilesys。一般情况下，当您运行程序时，这些程序的一部分内容可能会被临时保存到分页文件上，而如果您编辑完这个文件后立刻就关闭了系统，那么文件的一些内容仍然有可能被保存在虚拟内存页面文件中。在这种情况下，如果有人得到了这台电脑的硬盘，那么只要把硬盘拆出来，利用特殊的软件，就可以将虚拟内存页面文件中的机密信息读取出来。通过配置组策略，您可以避免这种潜在的危险。 计算机配置→Windows设置→安全设置→本地策略→安全选项”，在右侧窗格中双击“关机：清除虚拟内存页面文件” (如图9所示)，打开目标策略属性设置对话框。 图9　双击“关机：清除虚拟内存页面文件” 页面文件”属性对话框中勾选“已启用”(如图10所示)，按“确定”即可。 图10　“关机：清除虚拟内存页面文件”属性对话框
启用这个策略后，关机的时候系统会将分页文件中的所有内容都用“0”或者“1”写满，这样所有的信息自然也都会消失。
提示：这样做会减慢系统的关闭速度，如果不是非常必要，不建议您启用这个策略。
防止菜单泄漏隐私
在「开始」菜单中有一个“我最近的文档”菜单项，可以记录您曾经访问过的文件。这个功能可以方便用户再次打开该文件，但别人也可通过此菜单访问您最近打开的文档，为安全起见，可屏蔽此项功能。具体 *** 作步骤如下： 「开始」菜单和任务栏”，分别在右侧窗格中双击“不要保留最近打开文档的历史”和“退出时清除最近打开的文档的历史”(如图11所示)，打开目标策略属性设置对话框。 图11　双击“退出时清除最近打开的文档的历史”
如果启用“退出时清除最近打开的文档的历史”设置，系统就会在用户注销时删除最近使用的文档文件的快捷方式。因此，用户登录时，「开始」菜单上的“最近的项目”菜单总是空的。如果禁用或不配置此设置，系统就会保留文档快捷方式，这样用户登录时，“最近的项目”菜单中的内容与用户注销时一样。
提示：系统在“系统驱动器\Documents and Settings\用户名\我最近的文档”文件夹中的用户配置文件中保存文档快捷方式。
当没有选择“从开始菜单删除最近的项目菜单”和“不要保留最近打开的文档的历史”策略任何一个相关设置时，此项设置才能使用。
别让搜索泄露隐私
快捷搜索框是Windows 7的一大特色，尤其在执行文件夹搜索时非常方便。不过这一功能有时也特别令人尴尬，那就是会自动保存下所有历史搜索，而且并没有提供清除功能，其中一些隐私内容就会挥之不去。
使用组策略随时清空搜索历史是一个很好的补救措施，具体步骤如下：
图12　双击“在Windows资源管理器搜索框” 自动保存了。 图13选择“已启用”
设置桌面小工具
现在的病毒和木马真是十分的狡猾，竟然能够利用桌面小工具（Windows Vista中称边栏小工具）入侵系统，虽然系统能够检测到如：“天气与生活”这款小工具没有得到微软认可的有效数字签名，但用户只要单击“安装”按钮，即可顺利完成安装进程。如何防止这些没有签证的桌面小工具给系统可能带来的潜在危险呢？通过组策略可以拒绝使用没有签证的桌面小工具，具体 *** 作步骤如下： windows组件→桌面小工具”，在右侧窗格中双击“限制未经数字签名的小工具的解包和安装”(如图14所示)，打开目标策略属性设置对话框。 图14　双击“限制未经数字签名的小工具的解包和安装” 数字签名的小工具的解包和安装”属性对话框中勾选“已启用”(如图15所示)，按“确定”，则 Windows桌面小工具不会提取未经数字签名的任何小工具。 图15　“限制未经数字签名的小工具的解包和安装”
提示：默认情况下，Windows桌面小工具是可以安装未签名的工具软件，但是如果启用上述设置，Windows桌面小工具将不会再允许用户安装未经签名的软件，包括一些压缩文件。这将给用户的系统带来一定的安全保障。
完全禁止使用U盘
现在U盘已经相当普及，电脑里面的资料很容易被复制，这对电脑中的资料无疑是一种威胁。如果您的电脑中有一些重要的资料，那就要小心了。难道要把USB端口给拆下来吗？当然不是。其实运用Windows 7系统本身的禁止使用USB设备的功能，就能彻底解决这一问题。具体 *** 作步骤如下：
图16　打开“所有可移动存储类：拒绝所有权限”
图17　“所有可移动存储类：拒绝所有权限”属性框
禁止数据写入U盘
如果您不准备完全禁止USB设备，希望能读取U盘的内容，只是禁止数据写入U盘。具体 *** 作步骤如下： 可移动磁盘：拒绝写入权限”(如图18所示)，打开目标策略属性设置对话框。 图18　双击“可移动磁盘：拒绝写入权限” 可移动磁盘：拒绝读取权限”属性对话框中勾选“已启用”(如图19所示)，按“确定”按钮即可。 图19　“可移动磁盘：拒绝读取权限”属性对话框
提示：以上对U盘进行了禁止写入设置。如果要U盘禁止读取，而允许写入数据，那可以启用“可移动磁盘：拒绝读取权限”来实现。
允许识别指定U盘
以上“禁止使用U盘”和 “禁止数据写入U盘”两项设置，在保护自己电脑资料的同时也给自己带来了很大的不便，如何让系统只能使用指定的U盘或者移动硬盘呢？通过组策略“允许识别指定U盘”可能解决这一问题。 *** 作步骤如下： 控制面板”，双击“硬件和声音”、“设备管理器”(如图20所示)。 图20　双击“硬件和声音”、“设备管理器”
图21　展开“便携设备” 通用串行总线控制器”中“USB大容量存储设备”的硬件ID，在“设备管理器”中展开“通用串行总线控制器”列表，找到“USB大容量存储设备”(如图22所示)。 图22　找到“USB大容量存储设备”
图23　复制出U盘硬件ID 「开始」菜单，在“搜索程序和文件”搜索框中输入“gpeditmsc”并回车，打开组策略对象编辑器。依次展开“计算机配置→管理模板→系统→设备安装→设备安装限制”(如图24所示)。 图24　双击“禁止安装未由其他策略设置描述的设备” 策略设置描述的设备”，在d出的窗口中选择“已启用”，再点击“确定”按钮，设置它可以来禁止策略没描述的USB设备(如图25所示)。 图25　禁止安装未由其他策略设置描述的设备
图26　允许安装与下列设备ID相匹配的设备
禁止光盘自动播放
光盘自动播放虽然能给您带来了许多便利，但有些时候也会带来不少麻烦。默认状态下，当您将光盘插入光驱时，系统就会自动读取光驱，并启动autoruninf指定的应用程序。这一默认状态对系统来说是极不安全的，说不定自动运行的是一个木马程序。有时插入光盘仅仅是想查看一下光盘中的内容，自动播放功能会使您这一简单想法的实现变得复杂。关闭光盘自动播放实属明智之举。用组策略可以关闭光盘自动播放功能，具体 *** 作步骤如下： windows组件→自动播放策略”，在右侧窗格中双击“关闭自动播放”(如图27所示)，打开目标策略属性设置对话框。 图27　双击“关闭自动播放”
图28　“关闭自动播放”对话框
注意：插入光盘时按住shift键可禁止光盘自动播放。这种方式最好能成为使用陌生光盘时的一种 *** 作习惯。此设置不阻止自动播放音乐CD。
禁止安装移动设备
如果不希望其他人在您的电脑上随便使用移动设备，则可以通过组策略禁止安装可移动设备。具体 *** 作步骤如下： 计算机配置→管理模块→系统→设备安装→设备安装限制”，在右侧窗格中双击“禁止安装可移动设备”(如图29所示)，打开目标策略属性设置对话框。 图29　双击“禁止安装可移动设备” 驱动程序。 如果未配置或禁用了此设置，那么，只要其他策略设置允许安装设备，就可以安装可移动设备和更新现有的可移动设备。
提示：此策略设置比允许安装设备的任何其他策略设置的优先级都高。如果此策略设置禁止安装某个设备，那么，即使该设备与允许安装它的其他策略设置相匹配，也将无法安装或更新该设备。
对于此策略，当设备所连接到的设备驱动程序该设备可移动时，设备被认为是可移动设备。例如，设备连接到的 USB 集线器的驱动程序报告某个通用串行总线(USB)设备是可移动设备。
如果此计算机是一台终端服务器，则启用此策略还会影响指定的设备从终端服务客户端重定向到此计算机。
注意：禁止安装可移动设备对提高系统安装性能非常有效，使用此设置可防止可移动设备如U盘的使用。
限制使用驱动器
若要防止用户使用“我的电脑”访问所选驱动器的内容，可按以下步骤 *** 作： 我的电脑’访问所选驱动器的内容”，打开目标策略属性设置对话框。 我的电脑’访问所选驱动器的内容”属性对话框中勾选“已启用”，并在下面列表框中选择一个驱动器或几个驱动器，按“确定”即可。 如果启用此设置，则用户可以浏览“我的电脑”或 Windows 资源管理器中所选驱动器的目录结构，但是无法打开文件夹或访问其中的内容。此外，他们也无法使用“运行”对话框或“映射网络驱动器”对话框来查看这些驱动器上的目录。
若要使用此设置，请从下拉列表中选择一个驱动器或多个驱动器的组合。若要允许访问所有驱动器目录，请禁用此设置或从下拉列表中选择“不限制驱动器”选项。
注意: 代表指定驱动器的图标仍会出现在“我的电脑”中，但是如果用户双击这些图标，则会出现一条消息来解释设置防止这一 *** 作。
右侧窗格中“隐藏‘我的电脑’中的这些指定的驱动器”可配合使用，此组策略可以从“我的电脑”和“Windows资源管理器”上删除代表所选硬件驱动器的图标。并且驱动器号代表的所有驱动器不出现在标准的打开对话框上。这项策略只删除驱动器图标。用户仍可通过使用其它方式继续访问驱动器的内容。同时这项策略不会防止用户使用程序访问这些驱动器或其内容。并且也不会防止用户使用磁盘管理即插即用来查看并更改驱动器特性。
我的桌面你别改
若要禁止别人改动桌面某些设置，防止用户保存对桌面进行的某些更改。具体 *** 作步骤如下： 桌面”，然后在右侧对话框中选中并双击“退出时不保存设置”。 桌面的更改。 如果启用了此设置，那么，用户可以更改桌面，但是某些更改(如已打开窗口的位置、任务栏的大小及位置)在用户注销后不会保存。但是，桌面上的快捷方式始终得以保存。
时，许多**或是暴力的内容会进入我们的视野，虽然有第三方软件和利用分级审查功能可以阻止这些内容，但只要拥有管理员权限，分级审查是可以更改的。利用组策略，可以禁止更改分级审查。具体 *** 作步骤如下： 分级审查。 提示：禁用更改分级审查的前提是分级审查的设置已经完成。“禁用分级页”策略(位于“\用户配置\管理模板\Windows 组件\Internet Explorer\Internet控制面板”中)可以在“控制面板”中，将“分级”选项卡从“Internet Explorer”删除，它优先于此策略。如果已启用，则会忽略此策略。

---