如何實現(xiàn)超過非活動時間后注銷計算機2008-05-23
Smileruner帖子數(shù):
100發(fā)送站內(nèi)留言回復(fù) |
編輯 |
轉(zhuǎn)自：
http://bbs.winos.cn/thread-25243-1-1.html作者：塵封メ心
寫在前面：由于公司相關(guān)部門前些天對信息安全審計提出新的要求，要求所有域內(nèi)的客戶機在員工離開一段時間后就注銷自己的機器，而不是單純的鎖定計算機，所以才有了這篇文章。盡管本身技術(shù)要求不高，而且實用價值也不大，但是如果貴公司有這樣類似的需求（尤其是上市公司），或者在技術(shù)層面上擴大自己的知識面，我想這篇文章應(yīng)該還有點用。
大家都知道，屏保和注銷完全是兩個不同的概念，注銷需要停止當(dāng)前打開的應(yīng)用程序，而屏保則不然。在組策略里，提供了屏保的相關(guān)設(shè)置項，卻沒有策略設(shè)置能夠?qū)崿F(xiàn)讓計算機空閑一段時間后就自動注銷。幸好微軟對我們還不薄，為我們準備了Winexit.scr。Winexit.scr是什么呢？聰明的你從字面上就應(yīng)該可以看出來，它是一個屏保文件。也許現(xiàn)在你要說，不是我說過屏保不能實現(xiàn)讓計算機空閑一段時間后就立即注銷嗎，為什么又拿出一個屏保文件說事呢？其實，這個文件不是一個普通的屏保文件，我們可以把它理解為能自動注銷計算機的腳本，只是把它寫成了屏保形式。這個工具在2000和2003的Resource Kit里面提供了，為了方便大家，我在附件里面提供了。
不過這個工具有個讓人懊惱的地方，就是普通用戶無法啟用這個特殊屏保程序，必須要有管理員權(quán)限。這對員工只有普通域用戶權(quán)限的企業(yè)來說，根本就不實際。
經(jīng)過查閱資料得知，原來要想這個程序成功運行，必須得有以下注冊表鍵值的寫權(quán)限：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\control.ini。找到問題所在以后，我們就可以使用組策略來修改注冊鍵值的權(quán)限。
在正式操作前，我想向大家介紹一下整個思路：
1.通過組策略修改注冊表鍵值的權(quán)限，讓普通域用戶也可以往該鍵值寫數(shù)據(jù)；
2.設(shè)置Winexit.scr文件，已滿足公司安全策略的要求，例如注銷倒計時間以及注銷提示信息等；
3.通過開機腳本，將該屏保文件分發(fā)到客戶端機器的system32目錄；
4.再次通過組策略進行屏保的相關(guān)項設(shè)置；
5.檢查客戶端的應(yīng)用情況，驗證操作。
以下就是我按照整個思路進行的實際操作：
在正式操作前，我想向大家介紹一下整個思路：
1.通過組策略修改注冊表鍵值的權(quán)限，讓普通域用戶也可以往該鍵值寫數(shù)據(jù)；
2.設(shè)置Winexit.scr文件，已滿足公司安全策略的要求，例如注銷倒計時間以及注銷提示信息等；
3.通過開機腳本，將該屏保文件分發(fā)到客戶端機器的system32目錄；
4.再次通過組策略進行屏保的相關(guān)項設(shè)置；
5.檢查客戶端的應(yīng)用情況，驗證操作。
以下就是我按照整個思路進行的實際操作：
1.對目標OU建立一條策略，編輯策略修改注冊表權(quán)限。文字說明就不必了，請看圖1-4進行操作。
2.找到Winexit.scr這個文件，右鍵點擊“配置”，如圖5，同時按照如圖6進行設(shè)置好。記得一定要勾選中“Force application termination”，否則即使應(yīng)用了也不會注銷。
3.最終我們需要將這個文件復(fù)制到客戶端的system32目錄，所以這里我們利用強大的VBS腳本就能輕松幫我們搞定。
1).將以下內(nèi)容保存為VBS腳本。
Option Explicit
Dim objFSO, wshShell
Dim fileSrc, dest
Set objFSO = Wscript.CreateObject("Scripting.FileSystemObject")
Set wshShell = Wscript.CreateObject("WScript.Shell")
fileSrc="\\192.168.1.44\share\winexit.scr"
dest = "c:\windows\system32\"
objFSO.CopyFile fileSrc, dest, true
(注:請將fileSrc="\\192.168.1.44\share\winexit.scr"這一行所引用的該文件的路徑替換為實際路徑，同時請注意該文件所在的文件夾NFTS和共享權(quán)限是否設(shè)置都合理，不要權(quán)限設(shè)置錯誤)
2)在組策略中，將該腳本部署為啟動腳本（部署為啟動腳本比登錄腳本更有用，能避免權(quán)限不足的問題，當(dāng)然關(guān)機腳本也可以，這里純粹是個人偏好）
4.回到先前的組策略設(shè)置上來，按照如圖10進行屏保配置。為了測試速度，我設(shè)置為1分鐘就應(yīng)用屏保
