实验环境：三台原始的干净的虚拟机
搭建好的DC服务器：IP地址为：172.19.11.1
装备一台已经加入域的客户机：IP地址为：172.19.11.5， DNS为：172.19.11.1。
在DC上创建的域为17w2.com
实验目的：在域环境下禁止jishubu的lisi访问记事本，在与环境下禁止renshibu的zhangsan访问画图工具。
实验步骤：

1. 首先配置DC在开始处的管理工具处选择Active Directory 用户和计算机，在此处对DC进行配置。
2. 右击域选择新建组织单位，新建一个jishubu ,（如果在创建组织单位时复选中了“防止容器被意外删除”复选框，那么这个OU将无法被随意删除）。

并在技术部下创建用户lisi，点击下一步。

在下列框中输入密码，为了不让用户下次登录时，再输入一个新的密码，可以选择勾选密码永不过期，然后点击下一步。

3. 右击域选择新建组织单位，新建一个renshibu ,并在人事部中新建一个用户zhangsan ,操作步骤同上所示。

4. 创建完成后，在开始——>管理工具——>打开组策略管理，如下图所示的界面。

5. 在 “组策略对象”上右击新建一个名为test 的GOP，点击确定。

6. 然后就可以按住左键将GPO拖动组织单位jishubu上，组策略便会对相应的对象生效。

7. 首先对jishubu进行设置，右击test选择编辑，进入如下图所示的组策略管理编辑器。

8.展开“用户配置”——>“策略”——>“Windows设置”——>“安全设置”——>“软件限制策略”，在软件限制策略上右击选择“创建软件限制策略”命令

9. 然后在下方会多出“安全级别”和“其它规则”两个项目，右击“其他规则”，可以选择创建4中不同的软件限制规则（最常用的是路径规则和哈希规则）。

10. jishubu我们通过路径规则来对软件进行限制，在打开对话框中输入要限制的记事本程序的路径C:\Windows\System32\notepad.exe，且安全级别设为“不允许”，点击确定。

11. 然后以jishubu员工lisi的身份在客户机上登录进行验证，当打开记事本时出现警告提示。记事本成功地被禁用。

12. 对renshibu进行设置，在 “组策略对象”上右击新建一个名为tes1t 的GOP，点击确定。

13. 然后就可以按住左键将GPO拖动组织单位renshibu上，组策略便会对相应的对象生效。

14. 右击test1，选择编辑，然后展开“用户配置”——>“策略”——>“Windows设置”——>“安全设置”——>“软件限制策略”，在软件限制策略上右击选择“创建软件限制策略”命令，然后，在下方会多出“安全级别”和“其它规则”右击“其他规则”选择新建哈希规则。

15.单击“浏览”找到要禁用的mspaint.exe，系统会自动生成他的哈希值，安全级别为不允许，点击应用。

16.规则设置成功后，然后以renshibu员工zhangsan的身份在客户机上
登录验证，并打开画图工具时出现警告提示，画图工具成功地被禁用。

实验结束。

实验中需要注意的事项：
执行策略时会有延迟，延迟时间的长短不确定。
所以减缓延迟的策略的方法：（1）强制执行策略（在服务器端）、
（2）刷新策略，在客户端执行gpudate/force.