AD技巧之指定用户登录和指定计算机登陆

在域环境中我们往往默认情况下，域用户是可以在非域控机器上进行本地登录的，这里就涉及一个域安全问题

今天有人问我能否限制 某个用户只能登陆某台计算机？某台计算机只能由某个用户登录？

某个用户只能登陆某台计算机

这个可以通过AD用户和计算机的用户属性来指定用户可以登录的计算机

假设我们这让用户甲登陆xp-a，但是禁止登陆xp-b

打开账号选项卡，点击登陆到，将允许登陆计算机添加进去

打开xp-a，用户甲登陆很正常，但是打开xp-b登陆的时候会收到错误提示

这样就达到了我们限制用户所能登陆的计算机的限制了

第一条策略相对来说用的可能比较少，第二条策略相对会比较多

某台计算机只能由某个用户登录

这里可以通过组策略或者本地策略结合用户组的方法来实现

假设我们要只允许用户甲登陆xp-a，其他用户禁止登陆

打开计算机OU所在的组策略，依次展开计算机配置-策略-windows设置-安全设置-本地策略-用户权限分配

右侧选择允许本地登录，将管理员组和标准用户组加入策略中，

这样普通域用户就无法登录次此计算机

我们尝试使用用户甲登入xp-a，会收到禁止登录的提示

使用管理员登录xp-a将用户添加到power users组中

上面是比较原始的办法，使用组策略中的首选项会更加便捷

在首选项中控制面板的本地用户和组中，添加用户到指定的组

但是这样会将用户添加到所有计算机的power users组

点击常用在目标中选择指定的计算机

再登录xp-a会发现可以正常登录，如果使用其他用户一样无法登录

除非将其加入到power users和administratior组中

这样就达到了我们限制某台计算机登录可以被登录的用户数了