域控下发脚本_域用户登陆脚本

如何为一个域用户设置登陆脚本&＃xff1f;

- BAT可否作为登陆脚本&＃xff1f;

- 在域用户“属性”中&＃xff0c;应如何指定登陆脚本名&＃xff1f;"D:\x.bat"还是"\\srv\x.bat"&＃xff1f;还是其它&＃xff1f;

- 脚本应该放在何处&＃xff1f;

- 还有没有其它要注意的问题&＃xff1f;”

回答&＃xff1a;

1、bat可以作为登陆脚本执行&＃xff0c;确切说一切可以在windows平台执行的东西都可以作为登陆脚本来用。

2、应该指定以\\server\……这样格式开头的路径。因为client在登陆的时候执行脚本&＃xff0c;其实是从服务器上下载到本地&＃xff0c;然后执行。这样的话&＃xff0c;如果指定c:\这样的路径&＃xff0c;client只会在本地的c盘查找&＃xff0c;而不是到server上的路径去查找。

3、脚本可以放在一切client能够读取的位置。通常这个位置处于\\server\netlogon的share下(在服务器上的位置是%systemroot%\sysvol\sysvol\domainname\scripts)&＃xff0c;但是如果你制订了策略&＃xff0c;那么脚本默认的存放路径应该在%systemroot%\sysvol\sysvol\domainname\policies\guid\user(machine)\scripts下&＃xff0c;如果你放在别的位置&＃xff0c;需要在脚本执行栏的位置输入绝对路径&＃xff0c;格式同样需要以\\server\……开头。

4、其他的问题也很多了&＃xff0c;一般来说就是脚本适用于策略的时候&＃xff0c;客户端可能会执行不到。

一般来说可能会有一下的几个原因&＃xff1a;

a、脚本从名称到内容都尽可能的不要用特殊字符、长文件名(超过8个字符)、空格&＃xff0c;比如&等。这样的脚本在不同的os上可能执行会有问题。

b、脚本存放的位置和路径&＃xff0c;请遵照上面的原则来做。

c、脚本的编写方面。特别是适用net use 来map一个fileserver上的路径。有可能在登陆之前&＃xff0c;client上已经有网络盘的映射&＃xff0c;如果恰好和你map的盘符一样&＃xff0c;将有可能导致脚本执行失败&＃xff0c;你可以在脚本的最前面加一句net use * /d /y来解决这个问题。

不过这个命令要慎用&＃xff0c;在实际生产环境中&＃xff0c;如果你的fileserver是非wintel平台的storage&＃xff0c;响应时间较长&＃xff0c;那么可能导致用户重新登陆时&＃xff0c;无法连接fileserver上的sharefolder&＃xff0c;可以用一句if exist来判断网络盘是否存在。

另外一个方面&＃xff0c;如果远程设备是一些跨平台的存储设备&＃xff0c;比如一些nas、san等&＃xff0c;map到windows平台的时候可能会提示“网络路径无法连接”等问题&＃xff0c;可以相互更换map \\server_netbios_name或者map \\server_ipaddress两种方式来尝试连接。

如果遇到权限问题&＃xff0c;那么按照共享权限和安全权限冲突时取最小值的原则&＃xff0c;一般来讲可以将共享权限设置为full control&＃xff0c;然后安全权限做严格设定的办法来解决。

d、“配置文件路经”和“登陆脚本路径”、“主文件夹”

朋友们在初次设置域账户脚本的时候&＃xff0c;可能对于这三个概念有些模糊&＃xff0c;难以区分&＃xff0c;这里说明一下&＃xff1a;

①使用组策略&＃xff0c;在用户登录脚本的的地方编辑一个cmd等&＃xff0c;使用诸如net use的方式就可以map一个网络盘符了。

②“配制文件路径”是指用户profile所处的位置&＃xff0c;通常在%userprofile%

“登录脚本路径”是指用户登录到服务器时&＃xff0c;执行的脚本所处的位置&＃xff0c;通常默认路径位于

服务器上的netlogon下&＃xff0c;如果制定策略中使用脚本&＃xff0c;默认的路径应该在gpo 的guid下的user或者computer下的scripts&＃xff0c;如果置于其他位置&＃xff0c;需要手动指定完全路径。

③“主文件夹”是指用户在fileserver上的个人主目录&＃xff0c;这个概念没有绝对的位置。需要你手动指定路径&＃xff0c;不过在这里写入和在脚本中写入的不同&＃xff0c;在于系统会根据你写入的路径&＃xff0c;自动创建文件夹&＃xff0c;并为该用户分配权限&＃xff0c;该文件夹的owner属于该用户。这里可以使用%username%的变量&＃xff0c;让系统自行完成。当然在指定了 主目录后&＃xff0c;你仍然可以访问其他有权限使用的资源。

e、关于策略的执行顺序是本机、站点、域、ou、子ou。如果有设置上的重复&＃xff0c;按照执行的顺序&＃xff0c;后面的设置将会覆盖前面的设置。

如果在ou上设置“block policy inheritance”&＃xff0c;那么上层的策略将不会在这一层获得执行。

如果在ou上设置“No override”&＃xff0c;那么这一层将不会被后面的策略设置覆盖&＃xff0c;也就是说即使后面有相同的设置&＃xff0c;仍然以这一层的设置为准。

如果在ou上设置“disabled”&＃xff0c;那么这个策略将会被禁止执行。

如果在策略的properties  security上取消了对应的组的read和apply group policy&＃xff0c;那么对应的组将会无法应用到策略。通常默认被应用的组有authenticated user。

如果你取消了该组的两个权限&＃xff0c;然后add其他组&＃xff0c;同样赋予read和apply group policy的话&＃xff0c;此策略将只会被该组执行到&＃xff0c;这也就是所谓的filter。

如果你的域中有多台dc&＃xff0c;可能需要在dssite.msc中手动同步它们。

你也可以在服务器上使用secedit /refreshpolicy user_policy(machine_policy) /enforce 来强制刷新策略

这样的办法同样适用于client。

f、执行的脚本&＃xff0c;可以放在computer configuration和user configuration中执行。

对于user&＃xff0c;通常可以放置更改用户属性的东西。

对于computer&＃xff0c;通常可以放置更改计算机属性的东西。

这两个没有绝对界限&＃xff0c;但通常登陆的时候&＃xff0c;都属于domain users成员&＃xff0c;这样如果需要更改注册表或系统文件之类的&＃xff0c;可能会遇到权限问题&＃xff0c;那么我们也可以把这样的脚本放在computer中&＃xff0c;这样可以在user登陆之前获得执行。

(这里顺带说一句&＃xff1a;大家很少用到计算机账户吧&＃xff0c;那么计算机账户的作用在这里可以得到体现&＃xff0c;由于此时还没有用户账户验证&＃xff0c;计算机账户和dc的验证有一方面来源于本地计算机账户和dc之间保持一个密码同步&＃xff0c;以便于在这种特殊的情况下获得验证&＃xff0c;该密码默认30天变更一次。

你甚至可以在sharefolder上添加计算机账户的权限&＃xff1a;)如果由于dns对应或者其他的一些原因&＃xff0c;导致这个密码无法同步&＃xff0c;dc将会无法验证该计算机账户&＃xff0c;这可能会导致计算机登陆脚本无法执行。在dc的日志上一般都会给出一个错误提示&＃xff0c;ComputerNetbiosName$无法存取。解决的办法&＃xff0c;可以通过在客户端上执行netdom重置该信任关系&＃xff0c;这是另话了。)

对于user的设定&＃xff0c;只需要登出然后登入即可获得脚本的应用。

对于computer的设定&＃xff0c;则需要重新启动机器来获得脚本的执行。

注&＃xff1a;从上面的几点中&＃xff0c;大家可以看到计算机在登陆的时候需要通过dns来定位dc&＃xff0c;从而定位

定位gpo&＃xff0c;sysvol(策略、脚本、管理模板都存放在这里)&＃xff0c;dns对于ad的设置是至关重要

的&＃xff0c;一般来说可以这样设置&＃xff0c;将客户端的dns指向dc(如果dc上是双网卡的话&＃xff0c;那么指向内部

网卡dns)&＃xff0c;然后在dc上设置转发&＃xff0c;forward到外部(isp)dns。

上面只是就一些常见的问题做简要介绍&＃xff0c;如果遇到更为复杂的问题&＃xff0c;就需要查阅其他资料来解决了。

关于大家平时遇到的问题&＃xff0c;都整理成faq放在下面

FAQ&＃xff1a;

我的配置过程如下&＃xff1a;

1、制作脚本文件config.bat并拷贝至域控制器服务器下的sysvol\sysvol\scripts目录下

该脚本文件用 net use z: \\linux_file\share 命令

2、配置“配制文件路径”&＃xff1a;路径指向&＃xff1a;\\nwf_sav(域控制服务器名)\netlogon

配置“登录脚本路径”&＃xff1a; config.bat

3、在客户机注销重新登陆时出现以下窗口&＃xff1a;但未能将共享文件夹映射为Z盘。

回答&＃xff1a;一般脚本的存放位置有两种观点&＃xff1a;

1、将登陆脚本放在\\server\netlogon下(在dc上的物理路径是 %systemroot%\SYSVOL\sysvol\domainname\SCRIPTS &＃xff0c;而不是 sysvol\sysvol\scripts)

在设置账户属性中登陆指令档的时候&＃xff0c;此时是登陆域的时候默认寻找登陆脚本的位置

如果需要修改该脚本&＃xff0c;需要手动定位到上面的路径&＃xff0c;

优点是脚本集中放置

2、将登陆脚本放在策略gpo所处的路径下(在dc上的物理路径类似于这样

\\domainname\SysVol\domainname\Policies\{142B4268-9574-471F-9F7F-9AA04836F57F}\User\Scripts\Logon&＃xff0c;这里一长串的数字是gpo的guid&＃xff0c;用来唯一的标识这个对象&＃xff0c;

可以通过查询该策略的属性&＃xff0c;来察看该guid)

在设置策略中登入指令档的时候&＃xff0c;此时是登陆域的时候默认寻找登陆脚本的位置

如果需要修改该脚本&＃xff0c;可以点击下方的“显示档案”

优点是和策略关联性强&＃xff0c;编辑查找方便

无论用哪种方法&＃xff0c;如果脚本放置在默认的查询路径&＃xff0c;指定登陆档的时候就不用写路径

如果不是&＃xff0c;就需要填写完整路径&＃xff0c;当然这个路径需要对于client可用&＃xff0c;也就是说

不能填写诸如 c:\winnt\sysvol\sysvol 这样的路径&＃xff0c;否则client在登陆的时候&＃xff0c;只会

在自己的机器上 c:\winnt\sysvol\sysvol 查找脚本&＃xff0c;显然是找不到的&＃xff0c;因为脚本

是下载到本地执行的。

那么我们先看看脚本是否能够在client上正确执行&＃xff0c;

在client上 winkey&＃43;r&＃xff0c;然后填入脚本的路径&＃xff0c;比如 \\servername\netlogon\config.bat

执行一下&＃xff0c;是否能够等到正确的结果&＃xff1f;

然后察看上面的位置中指定的路径是否正确

如果是通过策略指定的登陆脚本&＃xff0c;我们再用 gpresult /v &＃xff0c;察看一下client是否应用到了

您制定的策略&＃xff0c;如果没有就要考虑使用 dssite.msc 手动同步域中的所有dc&＃xff0c;然后

secedit /refreshpolicy user_policy (machine_policy)/enforce 强制刷新策略&＃xff0c;

然后client重新登陆或者重新启动一下(这取决于您制订的是用户登陆脚本还是计算机登陆脚本)

如果还是不行&＃xff0c;那么在早先的那篇文章有提到&＃xff0c;

有可能是由于本地已经map 了同样盘符的盘&＃xff0c;导致冲突

有可能是由于map的共享路径权限设置错误&＃xff0c;常见的是共享权限的设置问题

有可能是由于map的共享是跨平台的存储设备或者格式&＃xff0c;它们可能不能在登陆时在系统要求的

时间内响应&＃xff0c;这导致系统认为该资源超时连接&＃xff0c;不可用。您可以尝试更换netbios名称或者ip

看看是否有所改善。