提升Domainusers用户权限为本地powerusers用户权限

1、用 AD 组策略控制客户端本地组从安全的角度来说是不建议大家把域用户加入到本地 Power Users ，写这篇文章的目的是告 诉大家， 可以通过组策略把域用户和域组自动加入到客户端的本地组，实现对客户端本地组的控制。如果善用此策略可以增加系统的安全性，本地 Administrators 组中仅存账户应该是本 地Administrator 以及来自其所在域的 Domain Admins 组。但是不时会有一些管理员“监时” 因为将某个用户的帐户提升到 Administrators 组中，并怀着“当事情一结束”再把它从 Administrators组里删掉，但因为工作太忙经常忘了造成了系统的不安全

2、 , 还有一些别有用心的黑客提升系 统权限把自己加入到 Administrators 组。善用此策略可以保证只有 Administrator 和 Domain Admin 组位于本地的 Administrators 组中，其它成员都会被踢出去。此策略可以精确的控制客户端的 本地组成员。1我建了一个Workstations 的0U把所有的客户端计算机都放入到了这个0U里面。在DC上新建一条组策略针对 Workstations 这个0U的;2、编辑这条组策略，找到“计算机配置” 一一“ Windows 设置“一一”安全设置“一一“受限制的组”，按鼠标右键，选择”添加组“；文件込剽宜看ra©

3、;劭 idc.Don a: nlTieir»_?oj 叩 »rlfs ersji s 爲 itMiCI；± 一I歎聲蚩査-臨汕JV5 嚙袖鬧殊ii)13軽腿 亨吐户觑E：自朮世誣F壬事件日志SMF*1£ J菇艇 匸揖注糕 用J文件驀 匡Y无銭同區 k熾飄 E J豹橄 叵男】F翁:詐鞠£tfinlcwE 组" E-J WiitdcwE CorpcriTTF J潮出二网烙日虜用户龍 f j就糊置 + _J Widws f _理板打开一矗加组J盘朝宜音十i2J打間辭3、输入 Power Users，点击"确定"成员朿尾二

4、上戒附頰可歸师艮http:/bbs.wi-Windowses文件曰stt i) if(vi帑肋川炖針牍可显示的殂J? MUonHnlkHTEjj训sr匾盯j(ffi 谢计豊机犹萱 出轲半醺 口 _恤伽隨胛車侣动陕取)!询竝媲任銅矗濮晒匡J丰地蘇it旨事件氐卫到Him址£ j至麴务应j文律爲貌 t y琳胸a亚L-玄期瓢叵昱左安録盼瓷g:自口换稅i V/iniE 鮭畔 壬 口 牡 nd*w$ Conpmer.tw 宝口辭 空礪- sm 曰虜駛配置y j鮒皤± _| tfindiv5 谩置i詢魅2JWindows4、弹出如下图对话框，点击”浏览为 pmw冃己査島怕煜势址的限费W:

5、Yjxi稠宦 I M I 门H h LZinW-.趣用户刊E 一I删谡T二|丫圖屮诉鸟虫一I皆理頓録勺*http:/bbfi.wiWindows5、输入Domain Users，点击"检查名称"按"确定"U凶IEj rra a金用丹遁 壬j软壮畳 + 23 he腑设置 + J韶嵌2dhttp:/bbs.v/i6、这样就把 Domain Users组添加到Power Users组里了，点击"确定"power xiscrs Ku2J2SJ为pcwer users Be宣成貝身份发个绢灵屁干d：.个应该佟改这个追馬十肢3、H定| 取消 |

6、逾用匕):j rPit= fiPKS(T J 较H«gIf 2j和nd”活百E 莒誉祺枚http:/bbs.wiwindow坤文“IH成员彗于"JC '.Il(main Jstrshttp:/bijs,wiWindowsM Add_D 3n * i al'iers_7 nJ 帕 <rUssr s_GPiEI单J龊枠丧置 -J ffijiin? 10sn本诣議朕札:E JSiiftSE厚仔茱曙 -身卓地牺F頁审件日忘 乜测蛇1±乜系统跆Eism 匡cs站轟E t 无歧彌 UM E02.llIt LI觀網 田心绷軌（IWF臺二宣全箕翳,S Acti :H jI* _|畑如主鎚件E _ ItmdciE lampuii江tg eO聚按 £ 二I 磷2）朴囿t血肝配萱 圧J駛斗啜看 *二'柝ndff诂骨 从营迎環覆H:J7、接下来是刷新组策略，gpupdate /forcejr仲）切治几' 再韭”群;Hiv、II 土 I 驭首 Xii D ;nHgiQ A日'日或肪 _l V' 1:叵d： _|