如何通过组策略将指定用户加入本地计算机管理员组

企业里面如果使用AD进行人员和计算机的管理，企业中一般会设定一个Helpdesk的职位，是公司的IT人员，负责公司员工计算机的日常问题，在很多情况下需要Helpdesk对计算机具有本地管理员权限才能对计算机的软件、系统之类的进行设置，所以我们需要在AD的组策略中设置将Helpdesk用户加入到所有员工计算机的Administrators组中。

我们为保证服务器的安全禁止Helpdesk用户远程连接服务器，禁止其对服务器计算机的管理员身份，所以禁止将Helpdesk用户组加入到服务器的Administrators组中。但是另外一个问题就是公司的服务器也是在域中的，服务器计算机会和员工的计算机都在同一个OU下，而且对AD中的所有计算机OU进行调整可能会出现相关的业务系统发生错误的情况（好像调整服务器OU，Exchange服务会出错），所以OU也不能调整。那么这个该怎么实现这个限制呢？

比较简单有效的方法是对整个域用户设置一个组策略，该组策略实现将Helpdesk用户组添加到本地计算机中，同时对该组策略的安全作出限制，对所有服务器计算机deny其“应用组策略”。具体操作是这样的：

（1）在AD中新建Helpdesk用户组，添加相关的Helpdesk用户，新建ServerComputer组，将所有的服务器添加到该组中。

（2）在DC上打开“AD用户和计算机”，打开域的属性窗口，在组策略选项卡中单击“打开”按钮打开组策略管理，

新建一个组策略Helpdesk，并将该组策略链接到域上，对所有域用户生效，如图：

（3）右击“Helpdesk”，在弹出式菜单中选择“编辑”，那么就可以弹出我们熟悉的组策略编辑器了。

（4）依次展开“计算机设置”、“Windows设置”、“安全设置”、“受限制的组”，然后新建组“Helpdesk”，这个组隶属于“Administrators”组，如图：

这样设置后所有域中的计算机在应用策略后都会将Helpdesk组添加到本地的Administrators组中。

（5）右击左侧控制栏的“Helpdesk[xxx.com]策略”，在弹出式菜单中选择“属性”选项，并切换到安全选项卡，添加服务器计算机组ServerComputer，然后在下面的权限中设置其拒绝应用组策略。

（6）“确定”，完成组策略的设置。这个时候在员工计算机上运行gpupdate /force可以强制马上刷新组策略，看到Helpdesk已经添加到Administrators组中。但是现在如果登录服务器也可以看到，Helpdesk也会被加入到Administrators组中，为什么呢？

因为计算机被加入到组中后计算机如果没有重启，那么他是不知道自己在这个组中的，所以组中的计算机必须重启！重启后就可以看到Helpdesk是不会被添加到Administrators组中的。

服务器需要24小时运行，不允许重启怎么办？可以将服务器一台一台的添加到（5）步中的安全控制中，分别对每一台计算机设置拒绝应用组策略即可。

【说明：为什么有些人在DC服务器上打开的组策略管理不是（2）中的截图那样的呢？那是因为需要安装GPMC，参见http://www.microsoft.com/china/technet/prodtechnol/windowsserver2003/technologies/directory/activedirectory/stepbystep/gpmcinad.mspx】