如何把IEMP迁移到GPP

谁借莪１个温暖的怀抱￠ 2022-10-02 13:47 230阅读 0赞

## **背景** ##

** **

**Internet Explorer Maintenance** (**IEM**) 从Internet Explorer 10以后就已取消。安装Internet Explorer 10的客户端不能从域控制器的组策略中取得IEM策略。

详细信息可以参考以下文档:

[http://technet.microsoft.com/en-us/library/jj890998.aspx][http_technet.microsoft.com_en-us_library_jj890998.aspx]

当在Windows 2008 R2域控制上将Internet Explorer 升级到10+以， IEM 从GPO 的编辑窗口消失，见下图

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p><strong>Windows 2008 R2 DC</strong><strong>上升级到</strong><strong>IE10</strong><strong>以前</strong></p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p><strong>Windows 2008 R2 DC</strong><strong>上升级到</strong><strong>IE10</strong><strong>后</strong></p></td> 
  </tr> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>&nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;<img src="https://images0.cnblogs.com/blog/502305/201411/280943039027072.png" alt="">&nbsp; &nbsp; &nbsp;&nbsp; &nbsp;</p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>&nbsp;&nbsp;&nbsp;&nbsp;<img src="https://images0.cnblogs.com/blog/502305/201411/280945443242696.png" alt=""></p></td> 
  </tr> 
 </tbody> 
</table>

** **

这里主要介绍，如何将Windows 2012 域控制器和windows 2008 R2域控制器上的IEMP迁移到GPP中。

** **

### **Windows 2012 DC:** ###

将IEM的设置迁移到“**Preferences -> Windows Settings -> Registry**” 或 “**Preferences -> Control Panel Settings -> Internet Settings**”

详细内容可以查看以下官方文档：

**How to configure Group Policy Preference settings for Internet Explorer 11 in Windows 8.1 or Windows Server 2012 R2: **[http://support.microsoft.com/kb/2898604][http_support.microsoft.com_kb_2898604]

在本文的结尾，附录了详细的步骤供参考。

![280946309493418.png][]![280946370122899.png][]

### **Windows 2008 R2 DC: ** ###

在Windows 2008 R2 域控制器上，在“**Preferences -> Control Panel Settings -> Internet Settings**” 中**没有** “IE10/IE11” 选项。这是目前的界面设计。

IT管理员可以使用 “**Preferences -> Windows Settings -> Registry**” 或**logon scripts **来发布IE组策略。

详细步骤在本文的**详细步骤**章节。

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>IT管理员可以使用 “<strong>Preferences -&gt; Windows Settings -&gt; &nbsp; Registry</strong>” 或<strong>logon &nbsp; scripts&nbsp;</strong>来发布IE组策略</p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>在Windows 2008 R2 域控制器上，在“<strong>Preferences -&gt; &nbsp; Control Panel Settings -&gt; Internet Settings</strong>” 中<strong>没有</strong>&nbsp;“IE10/IE11” 选项</p></td> 
  </tr> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>&nbsp;&nbsp; &nbsp;<img src="https://images0.cnblogs.com/blog/502305/201411/280946581528240.png" alt=""></p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>&nbsp;&nbsp; &nbsp;<img src="https://images0.cnblogs.com/blog/502305/201411/280947079183589.png" alt=""></p></td> 
  </tr> 
 </tbody> 
</table>

## **详细步骤** ##

已 “Internet Properties -> LAN Settings” 为例，演示如何通过以下三种方式进行设置：

这个演示中， “LAN Settings” 如下图

1）  打勾 “Automatically detect settings”.

2）  启用 “Proxy Server” 并设置为 “ProxyServer:8080”.

3）  选择“Bypass proxy server for local addresses”.

![280948012937649.png][]

** **

### **方法 1: ****使用 “Preferences -> Windows Settings -> Registry”** ###

#### 条件: 这个方法可用户Windows 2008 R2 DC 和 Windows 2012 DC，可以发布到Windows 7以上操作系统的 IE8, IE9, IE10+。对于Windows XP客户端，GPP可以在安装“Group Policy Preference Client Side Extensions for Windows XP (KB943729)” [http://www.microsoft.com/en-us/download/details.aspx?id=3628][http_www.microsoft.com_en-us_download_details.aspx_id_3628] 后使用。 ####

** **

1)       在DC上的IE中配置“Internet Properties -> LAN Settings”:

![280948437938332.jpg][]

如果需要“Exceptions”，配置如下:

![280949224185432.png][]

2)       在GPO编辑窗口中选择新建“Registry Item”。

![280950085122484.png][]

3)       点击下图中的 “…” 按钮，并选择以下路径 “HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Connections”，选择 “DefaultConnectionSettings” 并点击 “Select”按钮。

![280950211689816.png][]

4)       点击“OK” 确认这设置。

![280950533246494.png][]

5)       使用步骤3~4相同的方式，新建“Registry Item”。

输入 “HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings” 并选择 “ProxyEnable” 和点击 “Select” 按钮。

![280951285909452.png][]

6)       输入“HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings” 并选择 “ProxyServer” 和点击“Select”按钮。

![280951459493184.png][]

7)       如果选择了 “Bypass proxy server for local addresses” 或设置了 “Exceptions”，需要设置“HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings” 并选择 “ProvideOverride” 和点击“Select”按钮。

![280952326996635.png][]

***注意****:**如果打勾了* “Bypass proxy server for local addresses”, “ProvideOverride” 将在结尾包含 “<local>”，例如 “LocalServer;LocalServer1;<local>”.

8)       整个设置完成后，如下图：

![280953275747437.png][]

** **

9)       在test OU 中发布这个GPO，这客户端运行“gpupdate /force”，客户将立即获得这些设置。

10)   这个方式适用于IE8, IE9, IE10 和IE11客户端。

** **

### **方式 2: ****使用 “Preferences -> Control Panel Settings -> Internet Settings”** ###

#### 条件: 这个方式可用于Windows 2008 R2 DC 和Windows 2012 DC，Wndows 2008 R2 DC可以发布给IE5-IE9客户端；Windows 2012 DC 可以发布给IE5-IE11 客户端。对于Windows XP客户端，GPP可以在安装“Group Policy Preference Client Side Extensions for Windows XP (KB943729)” [http://www.microsoft.com/en-us/download/details.aspx?id=3628][http_www.microsoft.com_en-us_download_details.aspx_id_3628] 后使用。 ####

1)       根据DC 版本选择:

<table> 
 <tbody> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p><strong>Windows 2008 R2 DC</strong></p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p><strong>Windows 2012 DC</strong></p></td> 
  </tr> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>在windows 2008 R2 DC 上，安装&nbsp;<a href="http://support.microsoft.com/kb/2530309" style="color:rgb(120,175,211);" rel="nofollow">http://support.microsoft.com/kb/2530309</a>， 这样下图中的“Internet Explorer &nbsp; 8” 选项将发布给IE8 和 IE9 客户端。</p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>在windows 2012 DC上，安装<a href="http://support.microsoft.com/kb/2898604" style="color:rgb(120,175,211);" rel="nofollow">http://support.microsoft.com/kb/2898604</a></p><p>这样下图中的“Internet Explorer &nbsp; 10” 选项将发布给IE10 和 IE11 客户端</p></td> 
  </tr> 
  <tr> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>&nbsp;&nbsp; &nbsp;<img src="https://images0.cnblogs.com/blog/502305/201411/280953456522081.png" alt=""></p></td> 
   <td style="font-size:12px;border-color:#C0C0C0;border-collapse:collapse;"><p>&nbsp;&nbsp; &nbsp;<img src="https://images0.cnblogs.com/blog/502305/201411/280954140745431.png" alt=""></p></td> 
  </tr> 
 </tbody> 
</table>

2)       使用Windows 2012 DC上 “Internet Explorer 10” 演示例子： 点击New Internet Explorer 10 Properties 窗口上的“LAN settings“ 按钮，弹出下图 Local Area Network(LAN) setting 窗口。当前相关设置项下有红色虚线。

![280954294498033.png][]

3)       完成设置后，按F5 (或 F6) 确认输入，红色虚线将变为绿色实线，如下图。

注意：红色虚线的内容将被忽略，只有在按F5后，相关设置才会开启，红色虚线将变为绿色实线，设置才会通过GPP发布给用户端。相关功能键开启/禁用设置说明如下：

***功能键******:***

*F5 – **开启当前页面上所有设置。*

*F6 – **开启当前选中的设置。*  
*F7 – **禁用当前选中的设置。*  
*F8 –**禁用当前页面上所有设置。*

* ![280954467774306.png][]*

4)       如上图完成配置后，按 “OK” 按钮。

5)       在test OU 中发布这个GPO，这客户端运行“gpupdate /force”，客户将立即获得这些设置。

** **

***注意：类似的步骤可以用户******Windows 2008 R2 DC******向******IE8******或更低版本******IE******客户端发布******IE******配置****。*

### **方式3: ****使用 “Logon Script”** ###

#### 条件：这个方式可用于Windows 2008 R2 DC 和 windows 2012 DC向IE6+ 客户端发布配置。备注，完成IE8+版本的本地测试。 ####

以下1到4步可以在任何一台IE机器上完成，这里我们简单的已DC为例

1)       在DC 上完成“Internet Properties -> LAN Settings” 配置:

![280955045121521.jpg][]

2)       用“regedit”命令在DC上打开注册表编辑器，

3)       导出下面的值到“registry.reg”

Windows Registry Editor Version 5.00

\[HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\]

"ProxyEnable"=dword:00000001

"ProxyServer"="proxyserver:8080"

\[HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Connections\]

"DefaultConnectionSettings"=hex:46,00,00,00,5e,01,00,00,0b,00,00,00,10,00,00,\\

00,70,72,6f,78,79,73,65,72,76,65,72,3a,38,30,38,30,13,00,00,00,3c,2d,6c,6f,\\

6f,70,62,61,63,6b,3e,3b,3c,6c,6f,63,61,6c,3e,00,00,00,00,01,00,00,00,00,00,\\

00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,\\

00,02,00,00,00,0a,ac,12,24,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\\

00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\\

00,00,00,00

4)       创建批处理文件“Test.bat”，内容如下:

reg import registry.reg

5)       复制“registry.reg” 和 “Test.bat” 到DC policy sysvol路径(类似：“sysvol/domain/Policies/GPOUniqueID/User/Scripts/Logon)，并设置“Test.bat” 为 logon script.

6)       在test OU 中发布这个GPO，IE客户端重登录系统后将获得这些设置。

### **参考链接** ###

### **Red / Green: GP Preferences doesn’t work even though the policy applied and after gpupdate \\force** ###

[http://blogs.technet.com/b/grouppolicy/archive/2008/10/13/red-green-gp-preferences-doesn-t-work-even-though-the-policy-applied-and-after-gpupdate-force.aspx][http_blogs.technet.com_b_grouppolicy_archive_2008_10_13_red-green-gp-preferences-doesn-t-work-even-though-the-policy-applied-and-after-gpupdate-force.aspx]

### **How to Add Trust Sites into IE before IE10 through Group Policy** ###

[http://blogs.msdn.com/b/asiatech/archive/2013/01/04/how-to-add-trust-sites-into-ie-before-ie10-through-group-policy.aspx][http_blogs.msdn.com_b_asiatech_archive_2013_01_04_how-to-add-trust-sites-into-ie-before-ie10-through-group-policy.aspx]

### **How to configure Internet Explorer security zone sites using group polices** ###

[http://blogs.msdn.com/b/askie/archive/2012/06/05/how-to-configure-internet-explorer-security-zone-sites-using-group-polices.aspx][http_blogs.msdn.com_b_askie_archive_2012_06_05_how-to-configure-internet-explorer-security-zone-sites-using-group-polices.aspx]

转载于:https://blog.51cto.com/happynews/2402715

[http_technet.microsoft.com_en-us_library_jj890998.aspx]: http://technet.microsoft.com/en-us/library/jj890998.aspx
[http_support.microsoft.com_kb_2898604]: http://support.microsoft.com/kb/2898604
[280946309493418.png]: https://images0.cnblogs.com/blog/502305/201411/280946309493418.png
[280946370122899.png]: /images/20220112/b628a1ad3fc545fdb6eba3bd06c2d404.png
[280948012937649.png]: /images/20220112/fedf877600c04a6cbd9936059a3d35e0.png
[http_www.microsoft.com_en-us_download_details.aspx_id_3628]: http://www.microsoft.com/en-us/download/details.aspx?id=3628
[280948437938332.jpg]: /images/20220112/b1569146eda64eb0b2100cc1cabb1009.png
[280949224185432.png]: /images/20220112/cfc629a1f04245d9a5babd60d6e2175f.png
[280950085122484.png]: /images/20220112/10d40d0b81fa4a55ac79b2d131615822.png
[280950211689816.png]: /images/20220112/c841cf23ba094e02a7d053e891153127.png
[280950533246494.png]: /images/20220112/a5b6d1fed07a4cdc9572bbac7ab13102.png
[280951285909452.png]: /images/20220112/63b756ce5cd0428f8966d4ab82a915b7.png
[280951459493184.png]: /images/20220112/61be2358133b4cabb146f8efa9e5f193.png
[280952326996635.png]: /images/20220112/1007a4e96d9f4b5c9f9e55770f6c2585.png
[280953275747437.png]: /images/20220112/a028f109f7684158929239c6d1387d4e.png
[280954294498033.png]: /images/20220112/e03219ea99af42828065021cd4ec0074.png
[280954467774306.png]: /images/20220112/623cb5be35eb449781236a0a19ee6e47.png
[280955045121521.jpg]: /images/20220112/acbf035155274823840e5f32bbead34d.png
[http_blogs.technet.com_b_grouppolicy_archive_2008_10_13_red-green-gp-preferences-doesn-t-work-even-though-the-policy-applied-and-after-gpupdate-force.aspx]: http://blogs.technet.com/b/grouppolicy/archive/2008/10/13/red-green-gp-preferences-doesn-t-work-even-though-the-policy-applied-and-after-gpupdate-force.aspx
[http_blogs.msdn.com_b_asiatech_archive_2013_01_04_how-to-add-trust-sites-into-ie-before-ie10-through-group-policy.aspx]: http://blogs.msdn.com/b/asiatech/archive/2013/01/04/how-to-add-trust-sites-into-ie-before-ie10-through-group-policy.aspx
[http_blogs.msdn.com_b_askie_archive_2012_06_05_how-to-configure-internet-explorer-security-zone-sites-using-group-polices.aspx]: http://blogs.msdn.com/b/askie/archive/2012/06/05/how-to-configure-internet-explorer-security-zone-sites-using-group-polices.aspx