用AD组策略控制客户端本地组

1、用AD组策略控制客户端本地组从安全的角度来说是不建议大家把域用户加入到本地Power Users,写这篇文章的目的是告诉 大家，可以通过组策略把域用户和域组自动加入到客户端的本地组，实现对客户端本地组的控制。如果善用此策略可以增加系统的安全性，本地Administrators组中仅存账户应该是本地Admi nistrator以及来自其所在域的Domain Admins组。但是不时会有一些管理员监时”因为将某 个用户的帐户提升到Administrators组中，并怀着当事情一结束再把它从Administrators 组里删掉，但因为工作太忙经常忘了造成了系统的不安全，还有一些别有用心的黑客提升系

2、统权 限把自己加入到Administrators组。善用此策略可以保证只有Administrator和Domain A dmin组位于本地的Administrators组中，其它成员都会被踢出去。此策略可以精确的控制客 户端的本地组成员。有误的地方请各位及时通知我，如果这篇文章对大家有帮助就大声的吼二下，呵呵。：lol :lol 1、我建了一个Workstations的OU把所有的客户端计算机都放入到了这个OU里面。在DC 上新建一条组策略针对Workstations这个OU的；2、编辑这条组策略，找到计算机配置”一一“Windows设置“一一”安全设置“一一受限制的组”, 按鼠标右键，选择添

3、加组“；3、输入Power Users，点击”确定4、弹出如下图对话框，点击”浏览“5、输入Domain Users，点击”检查名称按”确定“6、这样就把Domain Users组添加到Power Users组里了，点击确定”蠢组策略编辑器成员磐蠢组策略编辑器成员磐雷 kdd_Dotnai nUssr e_T q_Fow erUs 牡 m_GFI曷计算机配置+ -Q软件设置；tj _i Windows 设宜：国脚本关机妄百W安全设置+冬帐户策略+由本地策略困拿件日志爰限制的蛆+系猊服务V西注册表+文件系统+ 丁 无线网埼（IEEE 80S. I+ m丞朝策略+ m软件限制策略- gj IP安全

4、策略，在Acti- 口宜每模机+ Q Windows 纽件+ j Wi ndow s CompoiLents+ ：口系统+ 网络打印机-感用户配置壬-Q软件设置土 i Window与设置：:- -Q管理棋板11http:/Wind7、接下来是刷新组策略，gpupdate /force8、到客户端刷新组策略，或重新启动计算机，再验证策略是否成功，看下图客户端已经成功毓的苴档我的电脑网上邻居newsid画费Wint|佃 |囱画| X曾晶|逑本地用户点蛆D用户毓的苴档我的电脑网上邻居newsid画费Wint|佃 |囱画| X曾晶|逑本地用户点蛆D用户_J 归I-g性能日志和警报,戛设备管理卷-逾存储二盘可移动存储酷磁瘩碎片整理程序 爹脱盘管理服笏和应用程序善樽机管理（本地） 曰毫系茹工具.B事件查看器 七臼共享文件夹-祸走一I 联消；翌交件旧 噪作（为 查看勘窗口 （蚀Fsw er ITsers匚AIDomain Ikarw.添加. |Power Us