了解活动目录权限的朋友都知道,新建用户都默认在Domain User组。有朋友提出Domain User组的权限下太小,用户想安装软件都不行。就把普通用户加入了域管理员组,但这是非常不安全的。 
 
为了更好的对客户端权限进行管理和控制,推荐的做法是,我们只赋予终端用户Domain User组的权限。但有些需要Local Administrator权限的软件就无法安装和运行。我目前能想到的办法是:
a.所有软件都安装在固定的Program Files目录,并通组策略赋予Program Files目录Domain Users组完全控制权限
b.通过组策略赋予注册表HKLM_SOFTWARE键Domain Users组完全控制权限
c.通过组策略赋予Domain Users组system32目录完全控制权限
通过以上3个地方的修改,90%的软件都可以正常运行了。对于一些特殊的软件,我们用Filemon和Regmon来进行监控,找出所需的文件或注册表值,来适当放开权限。