在 Windows NT 中&＃xff0c;资源域所有者通常对加入他们的域的计算机拥有完全控制权&＃xff0c;因为他们自动成为他们域中所有计算机上本地 Admins 组的一个成员。在一个资源 OU 中&＃xff0c;域管理员是所有计算机上的本地管理员。要想把对一个 OU 中的计算机的完全控制权授予资源 OU 管理员&＃xff0c;则要使用“受限制的组”组策略。 受限制的组选项允许管理员管理敏感组之间的关系。例如&＃xff0c;如果Administrators组只包括一个内建的Administrator账户&＃xff0c;Administrators组就可以被添加到受限制组中&＃xff0c;而Administrator也可以添加到Administrators组成员栏目下。这样的设置可以阻止其它用户使用一 些工具软件提升自己的特权到Administrators组。 不是所有的组都需要被添加进受限制的组&＃xff0c;建议只有那些比较敏感的组才通过配置安全模板加入进去&＃xff0c;其余没有加入到受限制组的组将会保持他们自己的关系列表。 对于所有在该选项中列出的用户组&＃xff0c;任何显示在这里的组和/或用户都已经不再是他们原来所加入的组成员了&＃xff0c;并且任何没有在配置列表中显示的当前组的用户和/或组都将被删除。
本文转自daniel8294 51CTO博客&＃xff0c;原文链接&＃xff1a;http://blog.51cto.com/acadia627/1251585&＃xff0c;如需转载请自行联系原作者
京公网安备 11010802041100号