域用户在物理Windows工作站上的权限配置及相关命令疑问咨询

我的现有环境如下：

• 域控制器
• 多个域用户
• 多台Windows物理工作站（已加入域，属于域客户端）

注：这些Windows工作站是全新的物理机，除了完成域加入操作外，未做任何其他配置

我目前有三个疑问点：

1. 是否可以在Active Directory中配置本地用户权限？比如指定某个域用户（或域组）成为某台物理机的管理员？还是必须在每台物理机上手动配置？

2. 是否可以拒绝特定用户访问特定机器？比如设置成所有用户都能通过RDP连接所有工作站，但唯独排除某一个用户？

3. 我在一台工作站上手动配置了本地组成员关系，输入whoami /groups能看到我的本地组成员身份，但执行net user bob /domain命令时，结果里的“Local Group Memberships”是空白行。这是什么原因？

我猜测net user xxx /domain是不是本来就不显示本地组？但如果是这样的话，为什么会出现一个空白的“Local Group Memberships”行呢？
另外我尝试输入不带/domain参数的net user bob命令，但报错说这个用户不存在于本地。

谢谢！

备注：内容来源于stack exchange，提问作者Bob5421