限制本地登录示例

《限制本地登录示例》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、10.3.2 限制本地登录示例有时想对一些用户限制在一些特定的计算机上进行本地登录（"本地登录"也就是在对应计算机上通过按下Ctrl+Alt+Del组合键打开登录面板进行的登录），以确保本地系统设置的安全性。如在域控制器组策略中就默认限定只允许AccountOperators、Administrators、BackupOperators、PrintOperators和ServerOperators组成员进行本地登录。实现的方法很简单，只需要在这些要限制本地登录的计算机的OU中创建并链接一个GPO，然后对在该GPO下面的"计算机配置"→"Wi

2、ndows设置"→"安全设置"→"本地策略"→"用户权限分配"下的"拒绝本地登录"（要明确拒绝少数用户进行本地登录时选用）或"允许在本地登录"（要明确允许少数用户进行本地登录时选用）策略项进行设置，最后在GPMC中过滤掉本OU中允许用户本地登录的用户和计算机即可。如现在要对test.com域网络中"财务部"中的test-w020和test-w021两台计算机限制非管理员账户在本地登录，具体的配置步骤如下：（1）打开GPMC，找到"财务部"OU（以上两台要限制本地登录的计算机已在此OU下）并右击，在弹出的快捷菜单中选择"创建并链接GPO"选项

3、，打开如图10-32所示的对话框。在其中输入本GPO的名称，在此以策略要实现的功能命名"本地登录限制"。 图10-32 "新建GPO"对话框（2）单击"确定"按钮，即可把这个新建的GPO添加并链接到"财务部"OU下，如图10-33所示。 图10-33 在"财务部"OU下新建的GPO（3）选择这个新建的GPO并右击，在弹出的快捷菜单中选择"编辑"选项，打开该GPO的组策略编辑器。然后按照"计算机配置"→"Windows设置"→"安全设置"→"本地策略"→"用户权限分配"的顺序找到"允许在本地登录"（因为此时是要禁止大多数，而仅允许管理员组成员

4、进行本地登录）策略项，如图10-34所示。 图10-34 "拒绝本地登录"策略项（4）双击"允许在本地登录"策略项，打开如图10-35所示的对话框。系统默认是没有定义该策略项，但并不等于这个策略项就没有在该OU计算机中应用，因为在没有配置的情况下，默认是继承上级容器（如上级OU、站点、域中GPO）的相关设置。首先要选择"定义这些策略设置"复选项，然后单击"添加用户或组"按钮，打开如图10-36所示的对话框。因为这里要仅允许管理员组成员在本OU下的计算机上进行本地登录，所以直接输入administrators组账户。 图10-35 "允许在本

5、地登录属性"对话框 图10-36 "添加用户或组"对话框（5）在图10-36所示的对话框中输入好要允许的用户或组账户，确认没有其他账户项在里面后，单击"确定"按钮返回到图10-35所示的对话框中。不过，此时已添加了仅允许进行本地登录的administrators组选项，如图10-37所示。（6）单击"确定"按钮完成"允许在本地登录"策略项的配置。因为在"用户权限分配"中还有另一个相对的策略项--拒绝本地登录，而且它的优先级要高于"允许在本地登录"的优先级，所以还需要查看在"拒绝本地登录"策略项中是否存在与"允许在本地登录"策略项的设置项。对

6、于本示例来说，只需要查看在"拒绝本地登录"策略项中是否有在administrators成员的账户项，如果有，要删除。默认也是没有配置的，如图10-38所示。 图10-37 添加了允许本地登录的账户后的"允许在本地登录属性"对话框 图10-38 "拒绝本地登录"对话框的默认设置（7）两个策略项确认配置无误，退出"本地登录限制"GPO编辑器，返回到GPMC。因为在"财务部"OU中还有其他计算机，而本策略仅需要限制对其中的test-w020和test-2021两台机器的本地登录。还需要在"财务部"OU下选择该GPO，然后再在图10-33所示的"作

7、用域"选项卡的"安全筛选"区域中单击"添加"按钮，打开如图10-39所示的对话框。在其中输入要应用本限制策略的计算机名，如test-w020。 图10-39 "选择用户、计算机或组"对话框（8）单击"对象类型"按钮，打开如图10-40所示的对话框，在其中选择"计算机"复选项（默认总是不选择的），然后单击"确定"按钮，回到图10-39所示的对话框。 图10-40 "对象类型"对话框（9）再单击"确定"按钮即可把一台计算机添加到图10-33所示的"安全筛选"列表框中。再用以上同样的方法，添加另一台要应用本限制策略的计算机test-w021。但要

8、注意的是，每次添加计算机账户都需要打开如图10-40所示的对话框，重新选择"计算机"复选项。两台要应用本限制策略的计算机添加好后，在图10-33所示的"安全筛选"列表框中就可以见