一句话 之 AD -- 禁止非管理账户将计算机加入域--设置ms-DS-MachineAccountQuota属性值为0

默认情况下，windows允许任何通过身份验证的用户将10个计算机对象加入域。

可通过下面的操作，关闭这一默认权限：

 

-）”管理工具“--打开“ADSI Edit”工具；

-）右键“ADSI Edit” -- “连接到”；

-）“连接点”选项卡--“选择一个已知命名上下文”--“默认命名上下文”；

-）“确定”

-）展开“默认命名上下文”；

-）右键“dc=domain，dc=com”--“属性”；

-）ms-DS-MachineAccountQuota -- “编辑”；

-）输入0 （零）；

-）“确定” ，完成。