从安全的角度来说是不建议大家把域用户加入到本地 Pow er Users，写这篇文章的目的是告诉大家，可以通过组策略把域用户和域组自动加入到客户端的本地组，实现对客户端本地组的控制。 如果善用此策略可以增加系统的安全性，本地 Administrators 组中仅存 账户应该是本地 Administrator 以及来自其所在域的 Domain Admins 组。但 是 不时 会 有一 些管 理 员“ 监时 ”因 为 将某 个用 户 的帐 户提 升 到Administrators 组中，并怀着“当事情一结束”再把它从 Administrators 组里删掉，但因为工作太忙经常忘了造成了系统的不安全,还有一些别有用心的黑客提升系统权限把自己加入到 Administrators 组。善用此策略可以保证只有 Administrator 和 Domain Admin 组位于本地的 Administrators组中，其它成员都会被踢出去。此策略可以精确的控制客户端的本地组成员。 有误的地方请各位及时通知我，如果这篇文章对大家有帮助就大声的吼二下，呵呵。:lol :lol 1、我建了一个 Workstations 的 OU 把所有的客户端计算机都放入到了这个 OU 里面。在 DC上新建一条组策略针对 Workstations 这个 OU 的； 2 、编辑这条组策略，找到“计算机配置” — — “Windows 设置“— — ” 安全设置“— — “受限制的组” ，按鼠标右键，选择” 添加组“； 3、输入 Pow er Users，点击” 确定“ 4 、弹出如下图对话框，点击” 浏览“ 5、输入 Domain Users，点击” 检查名称“ 按” 确定“ 6、这样就把 Domain Users 组添加到 Pow er Users 组里了，点击“确定” 7、接下来是刷新组策略，gpu pdate /force 8 、到客户端刷新组策略，或重新启动计算机，再验证策略是否成功,看下图客户端已经成功
