如何通过组策略仅允许特定组用户登录域内计算机

这个需求在域环境管理里算是很常见的场景了，我来一步步给你拆解操作步骤：

• 先打开组策略管理控制台（GPMC），定位到你要配置的目标组策略对象（GPO）——可以是已有的针对特定计算机OU的GPO，也可以新建一个专门的GPO来做这个限制。
• 右键点击该GPO选择“编辑”，在组策略编辑器里导航到路径：计算机配置 > 策略 > Windows 设置 > 安全设置 > 本地策略 > 用户权限分配
• 在右侧的策略列表里找到**“允许本地登录”**，双击打开属性窗口。
• 先把默认存在的用户/组（比如本地Users组、Administrators组这类）移除——这里一定要注意，别把域管理员组也删掉了，不然之后连管理员都没法登录目标机器就麻烦了！
• 点击**“添加用户或组”**，输入你想要授权登录的特定域组名称，验证无误后添加进去。
• 如果你的场景还需要限制远程桌面登录，那在同一个“用户权限分配”节点下找到**“允许通过远程桌面服务登录”**，重复上面的移除默认项、添加目标组的操作即可。
• 配置完记得保存GPO，之后可以在目标计算机上运行命令 gpupdate /force 强制刷新组策略，或者等待系统自动同步生效。

额外提醒：配置前一定要确认目标组里包含至少一个具备管理权限的账号，避免出现配置后无法登录的尴尬情况；另外这个策略是计算机级别的，要确保GPO正确链接到包含目标计算机的OU上，不然配置不会生效哦。

备注：内容来源于stack exchange，提问作者Mohammed Gamal