域控：允许管理员访问PC设置，禁止普通用户访问

1.域控中的电脑需要将普通用户的某些权限禁止，比如禁止普通用户访问PC设置和控制面板，但是管理员可以访问这些设置。

在默认GPO中修改域策略，效果是会将所有用户的访问设置权限都禁止掉。

这里记录一下，AD的策略生效优先级：用户策略大于系统策略和本地策略。

以前在域控中设置了某些策略，如果对本地电脑的运行造成故障，可以设置本地电脑中的本地策略来规避掉域策略，但是这次主题涉及的策略不能用这种方法，因为禁止访问PC设置和控制面板属于用户策略。

2.解决办法，建立一个小的组策略（GPO），这个组策略不应用到管理员组，应用到普通用户组，这样这个组策略中的用户策略会对普通用户生效，不涉及到管理员组

部门链接到组策略

链接成功的部门如下图