[转载]浅谈组策略设置IE受信任站点

在企业中，通常会有一些业务系统，要求必须加入到客户端IE受信任站点，才能完全正常运行访问，在没有域的情况下，可能要通过管理员手动设置，或者通过其它网络推送方法来设置。

有了域之后，这项工作就可以很好的通过组策略来统一完成，管理员可以在AD里面专门定义一条用于IE设置的组策略，来集中管理客户端的IE设置，那么这条组策略应该如何设置，其实有很多种办法，今天笔者提取其中三条比较常见的场景来和各位看官进行讨论。

方式一：
1、在计算机配置 - 管理模板 - Windows组件 - Internet控制面板中，有一项站点到区域分配列表 如下

2、在站点到区域分配列表中，可以根据策略设置的提示来完成网站的添加，如下图所示。

3、设置完成后，等待90-120分钟后，客户端即可自动应用，此处我们使用gpupdate /force，强制在客户端上进行刷新。
注意，此条策略是计算机配置策略，所以链接到的OU下，一定要是计算机对象才可以

4、在客户端运行组策略刷新之后，打开控制面板-Intranet选项，本地Intranet-高级，即可看到在组策略中，设置的选项已经成功应用到了客户端。

5、打开控制面板-Internet选项-安全-可信站点，可以看到，受信任站点也已经顺利的添加了进来。

通过上述的操作设置，已经可以成功让客户端计算机应用到IE设置组策略，这种方法的好处就是可以通过组策略统一设置，但是也有不好的一点，就是客户端不能够手动添加受信任站点，例如用户需要使用某些网银，需要添加银行站点到受信任区域，用户就不能手动的进行添加了。只能是管理员统一在域控制器组策略上统一设置，这种办法实现出来就是，IE设置完全交由管理员统一设置，从安全角度来讲，也避免了用户误操作，误添加受信任站点的风险。

方式二：
1、接下来再看另外一种办法，首先去掉之前设置的组策略，避免冲突。

2、打开组策略-用户配置-注册表，配置内容如下

操作：更新
配置单元：HKEY_CURRENT_USER
注册表项路径（此处填写需要添加的站点）：
Software\Microsoft\Windows\CurrentVersion\InternetSettings\ZoneMap\Domains\superdream.com\www
值名称：http（可以填写http or https）
值类型：REG_DWORD
数值数据：00000002 （注： 00000001 为Intranet区域，00000002 为受信任站点区域，00000003为Internet区域，00000004为受限制站点区域）
基数：十六进制

3、注意，这是一条用户配置策略，所以要确保策略链接到的组织单位内有用户，策略才会生效。

4、首先，在已加入域的机器上，以本地administrator登录，然后刷新组策略

5、可以看到，之前配置的站点分配列表已经清空，但是新配置的首选项却并未生效，Why？

6、切换成域用户登录试试看

7、发现首选项已经成功的应用上了，并且用户是可以手动修改的。

8、再次切换回本地administrator登录，发现策略又失效了，Why？

通过上述的设置，我们可以看出，通过用户首选项可以实现，为用户提供一个默认值，但是用户是可以修改的。这样就解决了上面提到的问题，一旦用户遇到需要添加的受信任站点，就可以手动在自己电脑上添加，也不会影响到其它人。这就是首选项的目的，但是这样做了之后，发现只能是针对于域用户应用，即是说，组策略只能链接到用户OU，并且客户端必须使用域用户登录到域，才能应用上策略，这样好也不好，好处是，可以通过这种方式，控制客户端使用域用户登录。不使用域用户登录，就不能完全访问公司的业务站点，坏处可能就是某些用户已经习惯了使用本地administrator登录，而且个人配置也都存储在本地administrator中，用户可能回并不愿意切换到域用户登录，到后来增加的还是IT人员的工作量，但是如果一定要实现这条组策略，而且客户端还需要使用本地administrator登录，也可以针对于计算机OU使用策略，然后使用环回处理，强制把用户配置覆盖掉或者合并，但是这样做会增加组策略的处理复杂性。所以通常能不用环回，尽量不要使用把组策略搞的复杂。So，这也是一种折中的办法。

方式三：
1、首先清除掉之前用户配置首选项中的设置，避免冲突。然后打开组策略-计算机配置-首选项-Windows设置-注册表

2、编辑内容如下：

操作：更新
配置单元：HKEY_LOCAL_MACHINE
注册表项路径（此处填写需要添加的站点）：
SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\InternetSettings\ZoneMap\Domains\*.zaj.com （此处可以填写* ，*即代表允许这个域名的所有主机名)
值名称：http
值类型：REG_DWORD
数值数据：00000002 （注： 00000001 为Intranet区域，00000002 为受信任站点区域，00000003为Internet区域，00000004为受限制站点区域）
基数：十六进制