如何为域计算机上的非域用户应用组策略（GPO）？

• 直接配置本地组策略对象（LGPO）
  本地用户天生受本地组策略管控，在目标域计算机上按Win + R输入gpedit.msc打开编辑器，定位到用户配置下的对应策略项（比如软件限制、桌面个性化）直接设置。如果要批量部署到多台机器，用lgpo.exe导出配置（lgpo.exe /b C:\LGPO_Backup），再通过域策略的**计算机配置\脚本（启动）**推送，在启动脚本里执行lgpo.exe /g C:\LGPO_Backup导入配置。

• 用组策略偏好（GPP）管控本地用户
  在域控制器的组策略管理里新建GPO，定位到计算机配置\偏好\控制面板设置\本地用户和组，这里可以给本地用户分配权限、添加到指定本地组，或者配合本地组策略的权限项间接限制行为。记得把GPO的安全筛选设为目标域计算机，确保计算机层面能应用这个GPO。

• 通过域策略的计算机配置设置用户权限
  如果是权限类限制（比如禁止关机、改系统时间），在域GPO的计算机配置\Windows设置\安全设置\本地策略\用户权限分配里配置。这类设置是应用到计算机的，不管是域用户还是本地用户，只要匹配权限规则就会生效——比如移除本地用户的“关闭系统”权限。

• PowerShell脚本批量管理
  写PowerShell脚本修改本地用户对应的注册表项（很多组策略设置对应注册表键值），比如禁止更改桌面背景：

  Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "NoDispBackgroundPage" -Value 1
  

  把脚本放到域策略的计算机启动脚本里，以系统权限运行，就能批量给所有目标计算机的本地用户应用设置。

内容的提问来源于stack exchange，提问作者MrMarvel