用AD组策略------控制客户端本地组

转自[url]http://bbs.winos.cn/viewthread.php?tid=32788[/url]

从安全的角度来说是不建议大家把域用户加入到本地Power Users，写这篇文章的目的是告诉大家，可以通过组策略把域用户和域组自动加入到客户端的本地组，实现对客户端本地组的控制。

如果善用此策略可以增加系统的安全性，本地Administrators组中仅存账户应该是本地Administrator以及来自其所在域的Domain Admins组。但是不时会有一些管理员“监时”因为将某个用户的帐户提升到Administrators组中，并怀着“当事情一结束”再把它从Administrators组里删掉，但因为工作太忙经常忘了造成了系统的不安全,还有一些别有用心的黑客提升系统权限把自己加入到Administrators组。善用此策略可以保证只有Administrator和Domain Admin组位于本地的Administrators组中，其它成员都会被踢出去。此策略可以精确的控制客户端的本地组成员。

有误的地方请各位及时通知我，如果这篇文章对大家有帮助就大声的吼二下，呵呵。

1、我建了一个Workstations的OU把所有的客户端计算机都放入到了这个OU里面。在DC上新建一条组策略针对Workstations这个OU的；

a.JPG (81.64 KB)

2008-4-26 12:52

2、编辑这条组策略，找到“计算机配置”――“Windows设置“――”安全设置“――“受限制的组”，按鼠标右键，选择”添加组“；

b.JPG (59.19 KB)

2008-4-26 12:52

3、输入Power Users，点击”确定“

c.JPG (64.51 KB)

2008-4-26 12:52

4、弹出如下图对话框，点击”浏览“

d.JPG (47.33 KB)

2008-4-26 12:52

5、输入Domain Users，点击”检查名称“按”确定“

e.JPG (52.41 KB)

2008-4-26 12:52

6、这样就把Domain Users组添加到Power Users组里了，点击“确定”

f.JPG (47.28 KB)

2008-4-26 12:52

g.JPG (57.84 KB)

2008-4-26 12:52

7、接下来是刷新组策略，gpupdate /force

h.JPG (45.9 KB)

2008-4-26 12:52

8、到客户端刷新组策略，或重新启动计算机，再验证策略是否成功,看下图客户端已经成功

i.JPG (72.81 KB)

2008-4-26 12:52

举一反三，我们还可以用同样的方法把客户端的本地组加入其它的域成员或域组。