如何限制Active Directory特定用户仅登录指定OU中的计算机？

我来帮你解决这个AD权限控制的问题，正好我之前处理过几乎一模一样的场景！

先复盘下你的核心需求：

• 仅让public这个来宾账号能登录PublicComputers OU下的电脑，其他电脑都不能登
• 其他所有用户不受限制，既能登PublicComputers的电脑，也能登其他OU的设备
• 因为PublicComputers里的电脑会频繁变动，不能用用户属性里的「登录到」列表（维护成本太高）

你之前尝试的问题根源 #

你之前设置了域级的拒绝登录GPO，再在PublicComputers OU设了排除的GPO，但部分电脑不生效，本质是对Group Policy的「强制（Enforced）」属性理解错了——这个属性就像CSS里的!important，一旦勾选，会跳过AD的GPO优先级规则，强制应用这个策略，哪怕更具体的OU级策略也覆盖不了它。所以那些不生效的电脑，其实是域根的强制策略直接盖过了OU级的设置。

正确的配置步骤 #

1. 配置域根的全局拒绝策略

创建一个新的GPO（比如叫Deny Public User Logon Globally），编辑它的计算机配置 > Windows设置 > 安全设置 > 本地策略 > 用户权限分配，找到「拒绝本地登录」权限，把public账号添加进去。

⚠️ 关键：这个GPO链接到域根后，不要勾选「强制（Enforced）」！

2. 配置PublicComputers OU的例外策略

再创建一个GPO（比如叫Allow Public User Logon on Public Computers），同样编辑「拒绝本地登录」权限，把public账号从列表中移除（或者直接不添加它）。

把这个GPO链接到Domain Root > InstitutionComputers > Library > PublicComputers这个OU即可。

3. 验证和生效

• 对目标电脑执行命令：gpupdate /force，然后重启电脑（安全类的GPO设置通常需要重启才能完全生效）
• 用gpresult /r命令查看GPO应用情况，确认两个GPO都被应用，且PublicComputers OU的GPO优先级更高
• 测试登录：用public账号尝试登录PublicComputers OU内的电脑（应该成功），再尝试登录其他OU的电脑（应该被拒绝）

为什么这个方案可行？ #

AD的GPO优先级是「OU层级越往下，优先级越高」，当域根的GPO没有勾选强制时，PublicComputers OU的更具体策略会覆盖域根的对应设置——相当于全局拒绝public登录，只在PublicComputers OU这块开了例外。而其他用户不在域根的拒绝列表里，所以不管在哪台电脑都能正常登录，完美符合你的需求。

备注：内容来源于stack exchange，提问作者Joel Coel