1、背景介绍

HaaS UI应用分发平台（以下简称“分发平台”）上的产品，即代表一类设备，这些设备的Product Key、HaaS固件、管理运维策略完全相同。

HaaS UI的用户类型，分为体验用户和特约用户。

并未与HaaS团队签约生产的用户都是体验用户。

体验用户在分发平台上不允许注册新的产品，默认会使用一个自动分配的产品，且只允许注册2个体验设备。且设备超过30天未上线，设备的三元组会被回收。如需再次使用需要重新注册设备并使用新注册的三元组。

如需体验用户需要创建正式产品，或使用更多设备三元组，请联系HaaS团队扩容或升级到特约用户。

 

2、创建产品

创建产品之前，首先应申请成为特约用户。体验用户不允许创建产品。

a. 点击导航栏“设备管理”标签下的“产品”标签，打开产品管理界面。



b. 产品管理界面中点击“创建产品”，打开创建产品页。



c. 填写产品名称、备注等信息，点击“确认”，即可完成产品创建。



创建产品后，即可在产品列表中看到新创建的产品，并可以查看产品详情、编辑产品信息、管理设备。



3、创建设备

创建设备的本质是在平台上申请设备的三元组（Product Key、Device Name、Device Secret）。

一个设备对应一个三元组。

体验用户可以在平台预先分配的产品下创建2个新设备，如需更多设备，请向HaaS团队申请。

特约用户可以创建正式产品，正式产品默认可创建50个设备，供开发、测试和试产。

如果需要更多设备，向HaaS团队报备扩容。

操作步骤：

a. 打开分发平台，点击导航栏“设备管理”标签组下的“设备”标签



 b. 点击设备页面的“申请设备”按钮



c. 在弹出的申请设备对话框中，设置要申请的设备数量，点击确认，即可完成设备创建



创建设备后，您可以在设备列表中点击右侧“查看”，打开设备详情页。



设备详情页包括设备的产品（Product Key）、设备名（Devicve Name）和设备密钥（Device Secret），将这些信息写入HaaS板，就可以在HaaS板上体验云端能力了。

 

4、开发者技术支持

如需更多技术支持，可加入钉钉开发者群，或者关注微信公众号



更多技术与解决方案介绍，请访问阿里云AIoT首页https://iot.aliyun.com/

关于动态分发的分发用户设置，试了好多次， 终于找到问题了。动态设置，需要设置两个地方，第一个是分发用户管理，第二个是分发策略。这里如果把定时目录标志配置了基于系统时间或者基于产品时间的话，那么在分发策略里面不能添加下级目录，只能分发到根目录，然后再按照时间动态分发。所以，在分发用户管理里，需要将下图打勾那个样子，而不是打叉的那个样子。

          
注意：<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

(1) 以下操作步骤能够将组策略下发至单个域环境的所有服务器以及客户端上。如有需要，我们可以在每个单个的域内配置类似的组策略以达到下发至根域以及所有子域的目的。

如果只需要下发至部分客户端，我们可能需要调节部分设置以达到该目的。

(2) 这篇文档是为了推荐和参考的目的。如果您决定应用该方法，您需要根据实际的环境和具体的需求来定制并修改相应的步骤和事项。同时，在您的实际生产环境中部署之前，请进行完备的实际测试。

 

1.    解压缩并准备好分发部署所需要的相关的.MSP更新文件

a.    从下载的文件”401927_intl_i386_zip.exe”中解压缩出.exe安装包” office2003-KB978551-FullFile-ENU-CSA.exe”. 然后通过使用WinZip或者命令行的方式(使用/x命令行开关)从这个.exe安装包中解压缩出实际所需的.MSP更新文件” IRMPRTIDNMinus1.msp”.

b.    从下载的文件”401929_intl_i386_zip.exe”中解压缩出.exe安装包 ” office2003-KB978558-ENU.exe”. 然后通过使用WinZip或者命令行的方式(使用/x命令行开关)从这个.exe安装包中解压缩出实际所需的.MSP更新文件”WORDVIEW.msp”.

c.    从下载的文件”401928_intl_i386_zip.exe”中解压缩出.exe安装包” office2003-KB978557-ENU.exe”. 然后通过使用WinZip或者命令行的方式(使用/x命令行开关)从这个.exe安装包中解压缩出实际所需的.MSP更新文件”XLVIEW.msp”.

 

2.    在SYSVOL共享文件夹下建立hotfix安装文件

复制我们提供的hotfix安装文件至共享文件夹\\DomainName\SYSVOL\DomainName\scripts 

 

IRMPRTIDNMinus1.msp

WORDVIEW.msp

XLVIEW.msp

 
3.    配置开机脚本

a.    登录域控制器，打开Active Directory Users and Computers，右键点击域名，选择属性 

b.    选择Group Policy 选项卡，点击New 以新建该域的组策略，命名为 “Start scripts”

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />

 
 
 
c.    点击 Edit 以打开Group Policy Object Editor, 展开至Computer Configuration\Windows Settings\Scripts

d.    双击 Startup, 点击Add 以添加新的脚本Double-click the Startup in Scripts, then click Add to add a new script

e.    点击 Browse，创建一个新的脚本文件，命名为 “Test.bat”

f.     点击Edit，修改Test.bat，添加如下命令行。 

msiexec /p \\DomainName\SYSVOL\DomainName\scripts\IRMPRTIDNMinus1.msp /qn

msiexec /p \\DomainName\SYSVOL\DomainName\scripts\WORDVIEW.msp /qn

msiexec /p \\DomainName\SYSVOL\DomainName\scripts\XLVIEW.msp /qn

 

注意：在您进行本地测试阶段或者是为了便于排查一些可能碰见的问题的方便，我们可以添加命令行参数例如"/l*v C:\KB978551_log.txt" 进入到上述的命令行中去。这样做的目的是可以生成补丁安装过程的完整的Windows Installer 日志。所以，整个的命令行看上去如下示例: (注意: 请您确保没有任何空格被包含在一个单独的完整的命令行参数字符串中.)

msiexec /p \\DomainName\SYSVOL\DomainName\scripts\IRMPRTIDNMinus1.msp /l*v C:\KB978551_log.txt /qn

 

 

g.    保存并关闭 Test.bat ，点击 Open，点击 OK


 
 
 
h.    点击 OK，并关闭Group Policy Object Editor

i.      如有可能，在Active Directory Sites and Services 工具中执行立即复制，以确保组策略的配置信息已经复制至环境内的域控制器 

 
4.    在客户端上，重新启动客户端以应用开机脚本，并安装组策略

对于Windows XP的客户机，我们可能需要重新启动多次以达到组策略下发成功的目的。

				
转载于:https://blog.51cto.com/jliao/243383

                    
目前大部分的公司都去购买MS的OS产品,刚推出不久的VISTA,以及即将面视的WINDOWS SERVER 2008,大家都已习惯了WINS的操作界面,不过在企业当中看中的是MS的AD的应用,而在AD中,能起到关键作用的就是"组策略",利用组策略管理域中的计算机和用户工作环境，实现软件分发等一系列功能,快速便捷的帮助管理员完成烦琐的工作.
但要了解组策略的使用,不是了解它的具体有哪些选项,而是要掌握它的应用规则!
那么我们开始学习组策略吧:

1.理解组策略作用:
组策略又称Group Policy

组策略可以管理计算机和用户

组策略可以管理用户的工作环境、登录注销时执行的脚本、文件夹重定向、软件安装等 

使用组策略可以:

a)对域设置组策略影响整个域的工作环境，对OU设置组策略影响本OU下的工作环境

b)降低布置用户和计算机环境的总费用

    因为只须设置一次，相应的用户或计算机即可全部使用规定的设置

    减少用户不正确配置环境的可能性

c)推行公司使用计算机规范

    桌面环境规范

    安全策略
总结:
a)集中化管理

b)管理用户环境

c)降低管理用户的开销

d)强制执行企业策略
总之组策略给企业和管理员带了高效率,地成本.原来做同样的工作需要10个管理员要忙10天都不能完成的事情,如果使用组策略1个管理员在一天的工作日就把事情全搞定,而且还有时间做下来喝咖啡.听起来好像不太可能,而事实得到了证明,但那你需要掌握组策略的应用规则.
 

 
2.组策略的结构
组策略的具体设置数据保存在GPO中 

创建完AD后系统默认的2个GPO:默认域策略和默认域控制器策略 

GPO所链接的对象:S(站点)D(域)OU(组织单位),当然也可以应用在"本地"

GPO控制的对象:SDOU中的计算机和用户
 
GPO的组件存储在2个位置:

GPC（组策略容器）与GPT（组策略模板） 

GPC：GPC是包含GPO属性和版本信息的活动目录对象 

GPT：GPT在域控制器的共享系统卷（SYSVOL）中，是一种文件夹层次结构
 

 
而且组策略更改后不是立即生效,需要经过一个刷新时间:

 
我们刚才说了组策略应用的对象是计算机帐号和用户帐号,那么打开组策略编辑器可以看到:

 
在此我们就来讲解组策略的应用规则,也就是使用方法:
3.理解组策略应用顺序:站点-域-OU-子OU,当然在同一级容器也可以创建多个GPO,如下图所示:




 

 
4.掌握组策略继承
在不同层次的容器上设置GPO或在同一层次的容器上设置了多个GPO,只要策略之间无冲突,那么所有策略都会做累加.
还有上层容器做了GPO,那么下层容器会继承上层容器的策略.
 
5.阻止继承操作
刚才说到下层容器会继承上层容器的策略,那么下层容器也可以阻止上层容器的策略,那么上层容器的策略就不会继承到下层了.方法是只需要在下层容器设置"阻止继承"即可:
 

 
6.掌握组策略强制生效
下层容器也可以阻止上层容器的策略,那么反过来上级容器也可以把策略强制给下级容器,那么不管下层容器有没有选择"阻止继承",都不生效,上层容器的策略都会继承下来,所以总结就是上层容器选择了"强制",而下层容器同时选择了"阻止',两个都存在,那么"强制"优先级高,方法只需要在上层容器设置"强制"即可:
 

 

 
7.刚才我们知识谈了策略没有冲突的时候,如果有冲突了听谁的呢?那么就请大家切记以下几点:
1.如果同一个容器的计算机策略和用户策略都设置了,但这2个的策略之间相互冲突,并且这个容器下的用户帐户恰好登录了这台计算机,那么计算机策略和用户策略同时都要生效,这时计算机策略覆盖用户策略!

2.不同层次的策略产生冲突时，子容器上的GPO优先级高!

3.同一个容器上多个GPO产生冲突时，处于GPO列表最高位置的GPO优先级最高!

总体原则：默认情况下后执行的优先级高。如果上层做强制,下层做阻止,并且上下有冲突,那么强制优先级最高!
 
8.筛选组策略设置 
a)GPO都是应用于容器下的所有的计算机和用户,但在实际中会有这样的需求,例如学术部的所有普通用户都要受GPO的约束,而经理不受此约束,这个功能靠筛选来实现,筛选可以实现阻止一个GPO应用于容器内部的特定计算机和用户。

b)容器中计算机和用户之所以受到GPO的影响，是因为他们对GPO拥有读取和应用组策略的权限。如果用户或计算机帐户没有读取和应用组策略的权限，组策略将拒绝执行。
筛选可以阻止一个GPO应用于容器内的特定计算机和用户,设置读取和应用组策略的权限
 

 

 




9.掌握软件分发方式：指派与发布
    分发软件的步骤:

        a)提供一个.msi的程序放在一个共享文件夹

        b)利用组策略的软件安装找路径（网络路径）

        c)选择发布/指派软件

    指派与发布的区别

        a)指派， 程序在【开始】菜单中

        b)发布， 程序显示在【控制面板】|【添加/删除程序】中
 
指派软件:
a)将软件指派计算机

    计算机启动时软件将自动安装在计算机里

    安装在Documents and Settings\All Users

b)将软件指派用户

    不会自动安装软件本身

    只安装软件相关的部分信息，如快捷方式

    何时自动安装

    开始运行此软件
 
发布软件:
a)不能将软件发布到计算机

b)将软件发布到用户

    不会自动安装软件本身

    何时自动安装

        “控制面板”-“添加或删除程序”-“添加新程序”
 
那么最后我们来做一个指派给用户安装OFFICE软件的实验:
 
1.首先把要分发的软件包放在共享文件夹中,并给之相应的权限:

 

 
2.DC中打开"AD用户与计算机"工具,为指定的OU设置组策略,该OU下有个用户为USERB:

 

 
3.在软件设置的软件安装,选择新建程序包:

 
4.找到指定的共享文件夹(一定是要网络路径):

 
5.选择"指派":

 

 
6.由于组策略生成后需要有个刷新时间,可以使用命令GPUPDATE进行立即生效:

 

 
7.使用USERB用户登录系统后可以看到程序中已经有了OFFICE工具:

 
8.不过不要高兴,因为我们选择的是"指派给用户",那么当用户登录系统时看到的OFFICE程序其实没有真正安装,但第一次点击时才开始真正的安装过程,如下图.不过如果选择是"指派给计算机"的话,那么这台指定的计算机开机时会很慢很慢,但当计算机进入系统后就会发现OFFICE已经安装成功了.
值得一提的是,如果刚才指派的这个用户没有相应的权限,那么当他执行软件安装时也会弹出"无法安装",因为没权限,这点需要注意,要事先给用户相应的权限!

 
9.修复软件
a)一个被发布或者指派的软件，在安装完成后，如果软件程序内有关键性的文件损坏、遗失或者被用户不小心删除，系统会探测到此不正常的现象，并且会自动修复、重新安装此软件。

b)如果原来软件分发点上的安装文件发生丢失或损坏

    在服务器上修复该软件的源文件

    重新部署一次
 

 
10.删除软件
【立即从用户和计算机卸载软件】：下一次用户登录或计算机启动时，软件会被强制删除

【允许用户继续使用软件，但禁止新的安装】：用户和计算机仍可继续执行使用软件，但不允许重新安装
 
11.升级软件
举例:

    Office2000升级到Office2003

    Visio2000升级到visio2002

a)强制升级

    会强制用户将当前软件升级到新的版本

b)可选升级

    允许用户同时使用一个应用程序的两个版本
 

 

 
12.组策略中的脚本应用
计算机设置(开机和关机)和用户设置(登录和注销)共有四种不同应用环境
下面我们来做一个用户登录脚本实验:
a)打开组策略的用户-脚本-登录:

 
b)打开登录脚本:

 
c)在桌面上创建一个*.vbs的脚本文件:

 
d)添加脚本:

 
e)找到脚本指定要放到的LOGON文件夹内(网络路径,必须要放在这里才能生效):

 

 

 

 
f)立即刷新:

 
g)登录界面:

 
最后我给大家共享一个WORD文档,是关于组策略的应用规则实验.刚开始接触组策略的可以做以参考.在我上传的文档中!





本文转自 nick_zp 51CTO博客，原文链接：http://blog.51cto.com/nickzp/40192，如需转载请自行联系原作者