;從Windows 2000開始，組策略就是配置Windows的有效工具。其實嚴格說起來，組策略編輯器中的大部分配置都可以直接修改注冊表實現(xiàn)，不過很明顯，通過組策略編輯器進行修改，更加直觀，而且也不容易出錯。因此很多Windows用戶都已經(jīng)習(xí)慣了使用組策略對Windows的一些高級設(shè)置進行配置。

Windows Vista中新增了大量新的功能，同時組策略編輯器中也包含了更多內(nèi)容。想知道這些新增的內(nèi)容對我們有什么用嗎？一起來看看吧。

提示：下文是以測試版的Windows Vista RC2 Ultimate為基礎(chǔ)撰寫的，因此和正式版中可能會有所不同。另外，Vista的家庭版沒有組策略編輯器功能。

控制硬件設(shè)備的安裝

這是一個很吸引人的功能。現(xiàn)在很多公司都不希望員工使用閃存盤或者MP3隨身聽之類可以通過計

算機的USB接口傳輸文件的設(shè)備，因為這很容易導(dǎo)致公司的機密數(shù)據(jù)丟失。傳統(tǒng)的預(yù)防辦法最常見就是將計算機上的USB接口堵死，但這種“硬”方法也造成了一些問題，導(dǎo)致其他使用USB接口的設(shè)備，例如鍵盤和鼠標都無法使用。那么有沒有不那么 “強硬”的方法？這時候可以考慮使用Windows Vista的組策略了。

通過組策略實現(xiàn)的目標

通過Windows Vista的組策略，對硬件設(shè)備的安裝將可以達到下列限制：

● 只有指定類型的設(shè)備可以安裝，其他未指定設(shè)備一律無法安裝。

● 只有指定的具體硬件可以安裝，其他未指定的硬件一律無法安裝。

● 所有可移動設(shè)備都無法安裝。

● 對于某些設(shè)備，限制用戶的讀取或者寫入操作。

實現(xiàn)思路

如何限制對硬件的使用？Vista中使用兩種方式：硬件類型（device class）和硬件ID（device ID）。

● 硬件類型（device class）：簡單來說，就是用于描述設(shè)備用途的一個名稱，例如所有的閃存盤，不管是A品牌的還是B品牌的，不管是USB 1.1標準的還是2.0的，只要是閃存盤，那就具有統(tǒng)一的硬件類型。

● 硬件ID（device ID）：用于描述具體硬件的一個代號。同樣的硬件，例如同一個品牌和型號，同一個生產(chǎn)批次的兩個硬件產(chǎn)品，都會有不同的硬件ID。

也就是說，如果通過硬件類型來指定禁止安裝的設(shè)備，例如使用閃存盤的硬件類型進行限制，那么不管是什么品牌或者參數(shù)的閃存盤，只要是閃存盤，都將無法被安裝。但使用硬件ID進行限制就不同了，例如有兩塊同品牌同型號的閃存盤（硬件ID絕對是不同的），那么我們可以限制只允許使用其中的一個，而不許使用另一個。

具體操作

為了更好地說明該功能的使用方法，下文將會使用一個魅族的MiniPlayer播放器來介紹如何禁止這個特定的播放器被使用，或者如何禁止所有類似產(chǎn)品被使用。

獲取設(shè)備類型或者硬件ID

將希望禁止使用的設(shè)備連接到計算機，并等待安裝完成。打開“開始”菜單，在搜索框中輸入“devmgmt.msc”并回車，打開設(shè)備管理器。從設(shè)備列表中找到想要禁止使用的設(shè)備，雙擊打開其“屬性”對話框。

打開“屬性”對話框的“Details（詳細信息）”選項卡，將能看到如圖1的界面。在Property（屬性）下拉菜單中分別選擇Device Class guid（設(shè)備類GUID）和Hardware ids（硬件ID）后，就可以看到該設(shè)備的這兩個屬性值。在下方顯示的值上單擊鼠標右鍵就可以將內(nèi)容復(fù)制出來。

通過這樣的方法獲取想要禁止使用的設(shè)備的類或者硬件ID，然后繼續(xù)下面的操作。

找到所需的組策略

打開開始菜單，在搜索框中輸入“gpedit.msc”并回車，打開“組策略編輯器”窗口。在左側(cè)的樹形圖中定位到“Computer Configuration-Administrative Templates-System-Device Installation-Device Installation Restrictions（計算機配置－管理模板－系統(tǒng)－硬件安裝－硬件安裝限制）”，在右側(cè)的面板中可以看到九個策略，就是用這九個策略進行限制的（如圖2）。

實現(xiàn)限制

上文已經(jīng)提到了，我們希望禁止手頭這個Miniplayer播放器的使用，或者禁止所有這類設(shè)備使用，那么就可以這樣做：

如果希望禁止這個播放器的使用，首先從設(shè)備管理器中找到該設(shè)備的硬件ID，然后雙擊“Prevent installation of devices that match any of these device IDs”這條策略（如圖3），選擇“Enabled”選項，然后單擊“Show（顯示）”按鈕，在隨后出現(xiàn)的窗口中單擊“Add（添加）”按鈕，將硬件ID復(fù)制進去，并單擊“OK”按鈕關(guān)閉所有打開的對話框。

如果希望禁止所有這類播放器設(shè)備，則需要從設(shè)備管理器中找到硬件類型的GUID，然后雙擊“Prevent installation of devices using drivers that match these device setup classes”這條策略，按照同樣的方法將設(shè)備類型的GUID添加進去（如圖4）。注意：設(shè)備類型在資源管理器中有兩種表達形式：Device class（可以類比為人的名字）和Device class guid（可以類比為人的身份證號碼），這里必須使用GUID來指定，而不能使用設(shè)備類的名稱來指定。

提示：如果為了查看硬件設(shè)備的類或者ID，已經(jīng)將設(shè)備安裝到系統(tǒng)中了，為了取得更好的限制效果，最好在看到想要的信息后將設(shè)備從設(shè)備管理器中徹底刪除。

驗證一下成果吧。經(jīng)過上面的設(shè)置，再次將該設(shè)備連接到計算機后，稍等片刻，就會看到如圖5的氣球圖標和對話框。這證明我們的設(shè)置已經(jīng)起作用了。

其他限制

除了限制對硬件的安裝，通過組策略還可以限制對已安裝的可移動存儲設(shè)備的訪問。還是在組策略編輯器中，通過左側(cè)的樹形圖定位到“Computer Configuration-Administrative Templates-System-Removable Storage Access（計算機配置－管理模板－系統(tǒng)－可移動存儲設(shè)備訪問）”，在右側(cè)可以看到15條策略（如圖6）。

策略雖然很多，不過理解起來卻很簡單。總結(jié)來說，這些策略可以分別對下列設(shè)備限制讀取或者寫入的訪問：

● CD and DVD：CD或DVD光驅(qū)，包含只讀光驅(qū)和刻錄機；

● Custom classes：自定義的設(shè)備，雖然可以自定義，但僅限可移動存儲設(shè)備；

● Floppy Drivers：軟驅(qū)；

● Removable Disks：移動硬盤；

● Tape Drivers：磁帶驅(qū)動器；

● WPD Devices：Windows portable devices設(shè)備，泛指運行了Windows操作系統(tǒng)的所有便攜設(shè)備。

對于限定的設(shè)備，例如光驅(qū)或者移動硬盤，我們只要啟用相應(yīng)的策略就可以限制對該設(shè)備的讀取或者寫入；對于需要指定設(shè)備的策略，例如自定義設(shè)備，則需要按照上文的方法添加設(shè)備類GUID。這里的設(shè)置需要重啟動系統(tǒng)后才可以生效。

使用QoS限制軟件對帶寬的占用

Windows XP中就包含了對QoS（Quality of Service，網(wǎng)絡(luò)服務(wù)質(zhì)量）的支持，不過該功能在Windows Vista之前的操作系統(tǒng)中并沒有太多應(yīng)用，以至于很多人以為在Windows XP中禁用QoS可以提高網(wǎng)速。現(xiàn)在已經(jīng)沒人相信這種無根據(jù)的觀點了，不過在Vista中，我們已經(jīng)可以通過QoS對應(yīng)用程序的出站連接進行限制（注意：僅限出站連接）。

通過組策略實現(xiàn)的目標

通過組策略配置QoS，我們可以實現(xiàn)下列目標：

● 對不同類型的應(yīng)用程序設(shè)定不同的優(yōu)先級，這樣對網(wǎng)絡(luò)帶寬需求比較大的應(yīng)用程序（例如進行網(wǎng)絡(luò)音頻或者視頻交流的Windows Live Messenger或其他VoIP軟件）就可以獲得較高優(yōu)先級，而對網(wǎng)絡(luò)帶寬占用需求不那么高的應(yīng)用程序（例如瀏覽網(wǎng)頁用的Internet Explorer）則獲得較低的優(yōu)先級。系統(tǒng)和路由器或者其他網(wǎng)絡(luò)設(shè)備將會根據(jù)優(yōu)先級的不同區(qū)別對待來自不同應(yīng)用程序的數(shù)據(jù)包。

● 對不同類型的應(yīng)用程序設(shè)定不同的網(wǎng)絡(luò)帶寬限制，這樣對傳輸數(shù)據(jù)所需時間不敏感的應(yīng)用程序（例如P2P下載軟件）就可以使用有限的網(wǎng)絡(luò)帶寬，而把絕大部分網(wǎng)絡(luò)帶寬留給急需通過網(wǎng)絡(luò)上傳數(shù)據(jù)的應(yīng)用程序。

需要注意的一點是，通過QoS進行的設(shè)置并非固定不變的。例如，如果設(shè)置了程序A具有較低的QoS優(yōu)先級，但是當(dāng)前并沒有其他優(yōu)先級更高的程序訪問網(wǎng)絡(luò)，那么A程序就會使用全部的網(wǎng)絡(luò)帶寬；如果優(yōu)先級高于A的程序B需要使用網(wǎng)絡(luò)，那么程序A就會自動為程序B讓路。

另外，QoS的實現(xiàn)是需要多種設(shè)備配合的，不僅操作系統(tǒng)，其他網(wǎng)絡(luò)設(shè)備也必須支持QoS才可以。例如，給不同程序設(shè)置了不同的網(wǎng)絡(luò)優(yōu)先級，那么該程序發(fā)出的數(shù)據(jù)包中就會包含DSCP（Differentiated Services Code Point，差分服務(wù)代碼點）信息，用于標示該數(shù)據(jù)包的優(yōu)先級。那么只有路由器或其他網(wǎng)絡(luò)設(shè)備支持QoS，才能理解DSCP信息的含義，并做出相應(yīng)的處理。

實現(xiàn)思路

QoS可以根據(jù)下列條件進行設(shè)置：

● 需要通過網(wǎng)絡(luò)發(fā)送信息的應(yīng)用程序

● Ipv4或Ipv6協(xié)議的來源或目標

● 協(xié)議類型：TCP或UDP

● 來源或目標端口

也就是說，我們可以針對某個具體的應(yīng)用程序進行限制，或者對發(fā)往某個特定地址或端口的網(wǎng)絡(luò)連接進行限制。

在優(yōu)先級限制方面，QoS使用了給網(wǎng)絡(luò)數(shù)據(jù)包中添加DSCP信息的方式標示不同數(shù)據(jù)包的優(yōu)先級。根據(jù)規(guī)定，DSCP有從0到63，一共64個不同的優(yōu)先級等級，數(shù)字越大相應(yīng)的優(yōu)先級就越高。默認情況下，所有程序都會使用33這個優(yōu)先級。具體操作

同樣讓我們以一個例子介紹QoS的操作。假設(shè)我們需要讓W(xué)indows Live Messenger發(fā)出的數(shù)據(jù)包具有較高的優(yōu)先級，而Internet Explorer發(fā)出的數(shù)據(jù)包優(yōu)先級較低，則可以這樣操作：

找到所需的策略。

打開“開始”菜單，在搜索框中輸入“gpedit.msc”并回車，打開組策略編輯器。在組策略編輯器窗口左側(cè)的樹形圖中定位到“Computer Configuration-Windows Settings-Policy - based QoS（計算機配置－Windows設(shè)置－基于策略的QoS）”。

給Windows Live Messenger設(shè)置較高的優(yōu)先級

在組策略編輯器窗口左側(cè)的樹形圖中用鼠標右鍵單擊“Policy - based QoS”，從右鍵菜單中選擇“Create new policy（新建策略）”。隨后將能看到如圖7的對話框，“Policy name（策略名稱）”一欄可以輸入自己想要使用的任何名稱，然后在“Specify DSCP Value（指定DSCP值）”一欄中為該程序指定一個優(yōu)先級數(shù)值。這里需要注意，可用的數(shù)值包括從0到63的任何數(shù)字，高于32的將會提高優(yōu)先級，低于32的則會降低優(yōu)先級。如果同時希望限制允許該程序使用的網(wǎng)絡(luò)帶寬，則可以選中“Specify Throttle Rate（指定限制速度）”選項，然后設(shè)定一個速度。設(shè)置好之后單擊“Next”。

隨后可以看到如圖8的界面，在這里可以決定這條策略的應(yīng)用對象。因為是針對Windows Live Messenger的，因此選擇“Only applications with this executable name（可執(zhí)行文件包含下列名稱的應(yīng)用程序）”選項，然后輸入“MSNmsgr.exe”。完成之后繼續(xù)單擊“Next”。

接下來可以看到類似圖9的界面，在這里可以設(shè)置這條策略應(yīng)用的范圍。因為我們的目的是對Windows Live Messenger的所有訪問連接都進行限制，因此可以保持默認設(shè)置，繼續(xù)單擊“Next”。如果只希望對某個作為來源的地址的訪問進行限制，可以選擇“Only for the following source IP address or prefix（僅針對使用下列地址或前綴的來源IP）”選項，并指定來源；如果希望對某個作為目標的地址的訪問進行限制，則可以選擇“Only for the following destination IP address or prefix（僅針對使用下列地址或前綴的目標IP）”選項，并指定目標。

然后是設(shè)定協(xié)議和端口號的界面（如圖10）。同樣，因為我們希望對所有訪問都進行限制，因此可以保持默認設(shè)置。否則可以選擇該策略應(yīng)用的協(xié)議（TCP、UDP，或者兩者兼有）以及來源或目標的端口號。單擊“Finish”按鈕。

至此關(guān)于Windows Live Messenger的設(shè)置就都已經(jīng)完成了，我們還需要通過一條策略給IE設(shè)置一個較低的優(yōu)先級。具體方法和上面的操作類似，只不過需要在如圖7的界面上指定一個較小的DSCP值。其實只要小于之前給Windows Live Messenger設(shè)置的DSCP就可以了，而且也可以不用設(shè)置，因為默認情況下所有程序的DSCP都是32，Windows Live Messenger經(jīng)過設(shè)置已經(jīng)高于32了。使用組策略配置Internet Explorer

Internet Explorer 7是Windows Vista中一個很重要的應(yīng)用程序，和老版本的IE相比，這個版本增加了很多新功能。不過這其中大部分功能并不能通過IE自身的選項進行設(shè)置，而是隱藏在了組策略中。通過組策略，我們可以設(shè)置大量IE的隱藏選項。

打開“開始”菜單，在搜索框中輸入“gpedit.msc”并回車，打開組策略編輯器。在組策略編輯器窗口左側(cè)的樹形圖中展開到“Computer Configuration-Administrative Templates-Windows Components-Internet Explorer（計算機配置－管理模板－Windows組件－Internet Explorer）”，就可以在窗口右側(cè)的面板中看到大量和IE有關(guān)的策略（如圖11）。

下面我們列舉一些實例來介紹如何通過組策略設(shè)置IE 7。

更改Agent ID

在訪問一些網(wǎng)站的時候，你可能會看到網(wǎng)頁上顯示了你的操作系統(tǒng)和瀏覽器的版本，想知道這是怎么實現(xiàn)的嗎？其實當(dāng)我們用網(wǎng)頁瀏覽器瀏覽網(wǎng)頁的時候，在發(fā)出請求時，瀏覽器發(fā)出的請求中就會包含這些信息，這叫做Agent ID。

現(xiàn)在的問題是，有些網(wǎng)站因為各種原因會對訪客的瀏覽器版本進行限制。例如，有些網(wǎng)站只允許IE 6訪問，有些網(wǎng)站只允許Opera訪問。遇到這些站點，而你又不想換或者不能換瀏覽器，該怎么辦？

IE 7就可以通過組策略自定義瀏覽器發(fā)出的Agent ID。雙擊“Customize User Agent String（自定義客戶端Agent字符串）”策略，選擇“Enabled”然后輸入新的Agent ID即可。例如，如果希望網(wǎng)站以為自己正在使用IE 6，就可以輸入“MSIE 6.0”；如果希望網(wǎng)站以為自己正在使用Opera，則可以輸入“Opera/9.00”。關(guān)于不同版本瀏覽器在不同操作系統(tǒng)上顯示的Agent ID，可以在這里查到：http://tinyurl.com/nuld8 。

禁止“修復(fù)設(shè)置”提醒

在IE 7中，當(dāng)我們對瀏覽器的默認設(shè)置進行更改，降低了瀏覽器的安全性后，IE 7會用信息欄提示我們，并提供了一個“修復(fù)設(shè)置”的選項，點擊后即可恢復(fù)默認的安全設(shè)置（如圖12）。這是一個很好的功能，可以避免我們因為錯誤的設(shè)置導(dǎo)致出現(xiàn)安全問題。不過有時候因為某些原因，我們必須降低IE 7的安全設(shè)置，這時候IE 7的提醒就顯得有些多余了。

雙擊“Prevent “Fix settings” functionality（禁止修復(fù)設(shè)置功能）”，然后將其啟用即可。