Windows 7 加入 Windows 2003 AD 後防火牆及網路無法啟動

Dell 最近告知雖有降級XP license, 但出廠機器無法預設安裝xp給客戶, 這下真的是麻煩了, 還得自行處理安裝xp. 公司內仍有部份舊版erp軟體無法在Windows 7 上面安裝, 必須版更但是版更帶來的影響尚無法估計. 但遲早得升級, 還是得裝幾台來測試.

看過文件似乎直接加入網域即可, Windows 7 找不到給 window 7的GPO時會使用本機端的admx 檔. 但是事實上可沒這麼好 … 加入網域重開機後即發生網路無法連線的問題,dhcp client,network location awareness等服務都無法啟動, 防火牆開啟會有”0x8007042c”的錯誤. 可見還是會套用windows XP的部份安全性原則, 以至於部份服務的系統服務帳號的權限被移除.

Google了好一陣發現可以使用WMI filter的方式避免Window 7套用網域安全性原則. 方式如如下

1. 從Windows XP或Windows 2003開啟”Active Directory 使用者及電腦”, 並於你要管理的網域上按右鍵, 點選內容.
   
2. 切到”群組原則”攔, 點選要修改的原則, 這邊要修改的是預設網域原則, 然後點選內容
    
3. 切到WMI篩選器, 選擇” 瀏覽/管理”
    
4. 點選”進階”
   
5. 點選新增, 然後輸入名稱及描述, 主要是在查詢部份需加入”Select * from Win32_operatingsystem where BuildNumber! = 7600”. 7600 是 Windows 版號, 可以在命令提示字元下”winver”查詢.完成後儲存設定. 如果其它OU有不同的安全性原則且windows 7也會放置到該OU下, 那麼該WMI filter也需套用在其上.
   

完成後安全性原則就不會被套用到windows 7. 至於windows 7的安全性原則可以先在 windows 2003 AD 上建立 Central Store 然後在 windows 7 安裝 RSAT 來管理. 詳細可參考 KB929841