在域環境中，如果能夠合理利用管理模板，則能夠給我們的管理工作帶來很大的便利。當客戶端的計算機處在“管理模板策略”時，系統會將管理模板中的策略配置值存儲到用戶計算機的登陸環境內。但是，它并不會將客戶端計算機默認的登陸值覆蓋掉。客戶端主機將同時應用管理模板策略與本地計算機默認的登陸值。如果當兩者的配置發生沖突的時候，當然以管理模板的策略值為準。由于在應用管理模板策略時，客戶端主機原有的默認值沒有被修改，所以，當管理模板策略失效時，客戶端仍然可以采用其默認值登陸。

　　管理模板策略，可以簡化我們的組策略配置，而且，也給我們網絡管理員提供了一個統一管理的平臺。如我們可以把一些常用的組策略通過模板來實現，如此的話，就不需要給每個組進行重復的組策略配置。

　　具體的來說，我們常用管理模板策略，來實現如下的一些配置。

　　一、 限制用戶只可以運行指定的程序

　　在企業網絡管理中，很大一部分工作就是員工網絡行為的管理。如在以前沒有有效管理手段之前，我們網絡管理員還不得不不定期的去各個辦公室視察，看看員工是否在上班時間利用QQ聊天;是否在利用公司的電腦打游戲，等等。這么做，不僅效率不高，而且還得罪人，是一個吃力不討好的差事。

　　不過后來這方面的控制手段就多了起來，各個廠家都在員工網絡行為管理上下功夫。微軟在這方面當然也不敢落后。他們在組策略中，提供了一個很好的工具，即可以指定某臺計算機只能夠運行哪些程序。如我們就可以利用這個功能，指定公司電腦只能夠運行OFFCIE、郵件客戶端、金山詞霸以及其他的一些必要的應用程序。而把QQ、游戲等軟件排除在外，如此的話，員工就無法在客戶端運行這些程序。從權限上排除這些軟件，如此，我們網絡管理員也不用老是去充當“間諜”，因為我們可以實現事先控制。

　　具體的配置方法為

　　我們在活動目錄用戶與計算機內，依次打開用戶配置、管理模板、系統，找到“只運行許可的應用程序”選項，然后，在程序列表中，輸入我們允許其運行的程序文件名稱。不過這里我們需要明白一點，有時候精通這方面的人員，若修改應用程序的名稱，則這個策略就不會起作用。如他們把QQ這個應用程序名修改為其他我們允許運行的程序名，則這個QQ應用程序就允許被運行。不過，在企業中，有這方面才能的人還是極少數的，所以在企業中還是有比較大應用價值。如果大家不放心的話，則還可以通過軟件限制策略來實現這個需求。

　　二、 限制瀏覽器的更改，保護瀏覽器安全

　　在微軟的操作系統中，瀏覽器可以說是一個比較脆弱的環節，很多操作系統的問題，都是因為瀏覽器遭受到攻擊所造成的。所以，有效保護瀏覽器，防止修改某些參數，對于保護瀏覽器安全，甚至企業網絡安全來說，都有非常重要的作用。

　　我們希望在組策略管理中，能夠實現對某些修改參數的限制。如我們不希望用戶隨意修改瀏覽器中的安全選項;或者禁止用戶修改internet選項中的高級頁簽中的相關功能。其實，有時候，也不是用戶故意更改，而是在一些不良網站的利誘下，甚至他們私下進行更改。如有些不良網站會提示用戶降低瀏覽器的安全性或者啟用某些不安全的瀏覽器功能，以正常訪問他們的網站。如此，一些沒有安全觀念的用戶，就會造著去做。這就會給對方有機可乘。而更有甚者，有些網站或者木馬、病毒，會利用瀏覽器的漏洞直接修改瀏覽器的相關設置，以方便他們的攻擊。不過，無論是哪種方式的修改，都需要當前登陸帳戶具有這種權限，或者的話，他們是無法達到修改的目的。

　　所以，我們通過組策略的相關控制，讓用戶沒有這方面的權限，同時，又能夠讓他們滿足正常辦公的需要，這就是我們的目的。這個需求我們可以通過管理模板策略，輕松的完成。因為在組策略中，有一個選項可以限制用戶使用瀏覽器的某些功能。如我們依次打開用戶配置、管理模板、Windows組件、瀏覽器，找到Internet控制面板選項。打開這個選項，我們就可以設置用戶具有哪些操作瀏覽器的權限;不能做哪些動作，等等。不過，這里僅限微軟的瀏覽器，而其他的瀏覽器，如FIREFOX等等，就不再組策略的管理范圍之內了。

#p#副標題#e#

　　一般來說，在對瀏覽器的管理上，我們需要重點關注以下幾個方面。

　　一是插件的安裝。有時候在訪問網頁的時候，可能需要安裝一些插件，如FALSH插件或者一些安全認證插件。有時候這些插件是必須的，但是，有時候病毒或者木馬也會利用這些插件作為掩護，在插件中植入一些不安全的代碼，從而破壞瀏覽器。如實現一些垃圾廣告、自動打開網頁，甚至竊取用戶密碼等等。所以，一般情況下，不要讓用戶具有安裝這些插件的權限。

　　二是代碼的運行。在瀏覽器中，也可以運行一些諸如JAVA之類的代碼。這可以大大的強加瀏覽器的功能，但是，隨之帶來的是很大的安全隱患。根據筆者多年的工作經驗，在企業網絡中，完全沒有必要讓員工的主機具有這方面的功能，它們用得到的幾率很小，這反而增加了網絡的不穩定性因素。所以，一般來說，用戶瀏覽器不需要有代碼的執行權限。

　　三、 隱藏控制面板中無用的圖標

　　人總是有好奇心的。筆者在平時網絡管理中，最頭痛的不是那些對電腦一竅不通的員工。他們對電腦什么都不懂，那么也就會很乖，我讓他們干什么，他們就干什么，從來不會去亂搞。但是，若在電腦網路方面是個半桶水的人，那么就麻煩了，他們一方面會想著法子玩個性，如會擅自修改電腦的名字;擅自刪除他認為不需要的程序，以為這可以提高系統速度。另一方面，他們不僅自己這么做，還會帶動旁邊一片人，甚至還充當起他們的老師來。這種人反而是我們最頭疼的。

　　為此，筆者的做法就是，一不做，二不休，把控制面板中一些圖標都隱藏掉，如此的話，他們就無從修改了。其實，要實現這個需求，可以直接通過管理模板策略來實現。我們依次打開用戶設置、管理模板、控制面板，然后找到“隱藏指定的控制面板程序”即可。當這里指定把某些圖標隱藏起來后，用戶就無法通過控制面板來訪問他們。

　　以XP操作系統為例，我們可以把這些圖標給隱藏掉

　　一是網絡連接。若用戶有相關的權限，則就可以通過網絡連接在更改IP地址，或者把IP地址的取得方式從自動取得改為固定IP地址，等等。這些行為很可能導致企業網絡內IP地址的沖突，從而造成企業網絡的不穩定。特別是一些企業通過IP地址來限制對網絡的訪問。如某些IP地址無法訪問外部網絡或者無法使用QQ等等。此時，就可能會引發用戶擅自修改IP地址，目的就是為了獲取相關的網絡訪問權限。一般來說，可以把這個網絡連接程序隱藏掉，沒有必要放在那邊讓用戶修改。

　　二是用戶帳戶程序。一般來說，我們不需要員工具有建立本機帳戶的權限。對于客戶端的登陸帳戶，一般都是有網絡管理員進行統一管理與配置。所以，其他用戶的話，也就沒有需要具有這個權力。但是，在實際工作中，我們可能是按員工編號作為員工的登陸名，但是，有些員工卻不樂意了，他們憑著自己對電腦的了解，在系統中新建了一個以自己名字命名的登陸名。這就破壞了我們網絡管理員的帳戶統一管理的策略，我們是不允許的。所以，我們可以通過管理模板策略，把這個隱藏掉，從源頭限制他們進行修改。

　　三時字體應用程序。在一些比較特殊的應用環境中，可能需要用戶安裝一些特殊的字體，軟件才能夠正常使用。遇到這種情況的話，我們是不允許用戶擅自增加字體。一方面，從網絡上下載的字體可能帶有病毒，安全性不高。二是字體安裝的難度雖然不高，但是，一不小心的話，可能破壞原有的字體，反而造成其他軟件運行的不穩定。所以，需要把這個應用程序隱藏起來。在有需要的時候，讓網絡管理員來進行相關的操作，這相對來說，比較安全。

　　總之筆者認為，管理模板策略可以幫助網絡管理員方便的實現一些共性的內容，是一個很不多的管理平臺。