运用组策略来部署 Windows XP SP2系统

简介

　　如果您在 Active Directory 目录服务环境中管理计算机，则可以使用“组策略”的“软件安装和维护”功能在目标计算机上部署 Microsoft Windows XP Service Pack 2 (SP2)。本文介绍如何使用“Windows 安装程序”和“组策略”在 Microsoft Windows 2000 Server 或 Microsoft Windows Server 2003 Active Directory 域中的目标计算机上安装 SP2。

　　对于尚未使用企业更新管理解决方案（例如 Systems Management Server (SMS) 2003 或 Software Update Services (SUS)）的客户，我们建议使用“组策略”作为实时管理 Windows XP SP2 部署的方法。

　　使用“组策略”分发程序时，用户可以将程序分配给多台计算机。程序会在计算机启动的时候安装，并且所有登录到计算机的用户都可使用这个程序。有关“组策略”的更多信息，请参见组策略基础结构.

　　本文假定用户使用了“组策略管理控制台”（Group Policy Management Console，GPMC）。要下载 GPMC，请参见带有 Service Pack 1 的组策略管理控制台.

　　获取 Windows XP SP2

　　要获取 Windows XP SP2，请参见面向 IT 专业人员和开发人员的 Windows XP Service Pack 2 网络安装包. 用户可以从此网页下载 SP2 文件，该文件名为 WindowsXP-KB835935-SP2-ENU.exe。有关订购 CD 的信息，请参见面向 IT 专业人员的 Windows XP Service Pack 2 资源.

下载 WindowsXP-KB835935-SP2-ENU.exe 之后，请使用以下命令行来提取文件：
WindowsXP-KB835935-SP2-ENU.exe /x ，其中“”就是用于存放所提取文件的目标目录。

　　使用“组策略”部署 SP2 是通过 SP2 的 Microsoft Windows 安装程序包（名为 Update.msi）来实现的。这个文件位于以下文件夹中，它同时也是提取文件的目标位置：\i386\update。

　　使用组策略分配服务软件包

1.创建分发点。

2.创建 SP2 部署的“组策略”对象 (GPO)。

3.针对指定的计算机部署来自共享分发文件夹的 SP2 Update.msi。不要按照用户部署进行部署。

4.在需要的情况下，可以将 SP2 部署到特定的安全组。

　　必须将目标计算机（就是将要接收服务软件包部署的计算机）加入到含有“Windows 安装程序”(.msi) 文件的服务器所在的域中。在您分配程序包后，当连接到此网络的用户下一次启动计算机时，“Windows 安装程序”将会自动安装该服务软件包。我们建议您检查每台计算机的属性，以确保已经完成目标计算机的更新。您可能需要多次重新启动计算机才能完成更新。

　　只有网络管理员或在本地计算机上以管理员身份登录的人才能从目标计算机中移除已分配的软件（即 SP2）。

　　下面详细介绍本节指出的上述过程。

　　创建分发点

要发布或分配软件，必须在服务器上创建一个分发点。

1.以管理员身份登录到服务器计算机上。

2.创建一个用于放置要分发的“Microsoft Windows 安装程序包”的共享网络文件夹。此文件夹即为软件包的分发点。

3.设置共享网络文件夹的权限以允许对分发包进行访问。将访问权限授予以下人员：管理员、经过身份验证的用户和域用户。

4.为分发点配置分布式文件系统 (DFS)。我们建议您进行此项操作，因为它可以在替换服务器时确保分发点的不间断可用性，从而提供更高的灵活性。此外，DFS 可以很容易地使分发点位于多个站点上。有关 DFS 的更多信息，请参见设计 DFS 命名空间.

　　为 SP2 部署创建 GPO

　　您可以创建一个 GPO，并将其链接到包含要部署 SP2 的目标计算机的全部 Active Directory 容器（例如站点、域或组织单位）。在以下过程中，我们将指导您如何将域用作容器。针对您的具体环境，可能需要将 GPO 链接到另外一个容器。您甚至可以将其链接到任何一个 Active Directory 容器。此外，如果仅为了部署 SP2，您也可以编辑现有的 GPO，而不用创建新的 GPO，但是我们建议您不要编辑“默认域策略”或“默认域控制器策略”。

1.在管理工作站上，打开“组策略管理控制台”(GPMC)。

2.在控制台树中，右键单击要在其中创建和链接“组策略”对象 (GPO) 的林中的域名称。

3.单击在此创建和链接 GPO。

4.在新建 GPO 对话框中，为新 GPO 指定一个名称，然后单击确定。

　　为 SP2 部署编辑 GPO

　　现在，您已可以通过“组策略”的“软件安装和维护”功能来修改 GPO。请注意，“组策略”仅支持将 SP2 部署到计算机，而不是用户。要部署 SP2，您必须使用“组策略对象编辑器”中的“计算机配置”节点。

1.右键单击新的 GPO，然后单击编辑。

2.在“组策略对象编辑器”中，单击计算机配置，接着单击软件设置，然后单击软件安装。

3.在操作菜单上，指向新建，然后单击程序包。

4.在打开对话框的文件名称中，键入要分发的共享安装程序包的通用命名约定（Universal Naming Convention，UNC）的完整路径。使用以下格式键入此路径：\\ServerName\SharedFolder\Update.msi 或 \\ServerIP\SharedFolder\Update.msi。确保使用共享安装程序包的 UNC 路径。

5.选择“Windows 安装程序包”，然后单击打开。

6.在部署软件对话框中，单击已分配，然后单击确定。所选的共享安装程序包将会出现在“组策略对象编辑器”的右窗格中。

注意：
ServerName 和 ServerIP 是共享文件夹所在计算机的服务器名称或 IP 地址的占位符。SharedFolder 是服务器计算机上的共享文件夹的占位符。


　　将 SP2 部署到特定安全组

　　出于测试目的，您最初可能只想将 SP2 部署到有限数量的计算机上，而不是给定域或 OU 中的所有计算机。如果您只想将 SP2 部署到作为特定安全组成员的计算机上，则可以使用“组策略”中的安全筛选功能完成此操作。

　　使用安全筛选功能定位 SP2

1.在 GPMC 中，双击组策略对象。

2.单击要对其应用安全筛选的 GPO。

3.在结果窗格的范围选项卡中，单击添加。

4.在输入要选择的对象名称中，键入要添加到安全筛选器中的组、用户或计算机的名称，然后单击确定。

5.如果在范围选项卡的安全筛选部分中显示已验证用户，请选择此组，然后单击移除。此操作可确保仅添加的组的成员可以接收该 GPO 的设置。

注意：
GPO 中的设置仅应用于与之相链接的域或组织单位中的用户和计算机，并且这些用户和计算机必须是“安全筛选”中指定的或者属于“安全筛选”中指定的组的成员。您可以在安全筛选器中为单个 GPO 指定多个用户或计算机。