■

通过GPRG管理本地AD组

尽管AD本身具有集中管理功能，但有时我们依然需要通过本地组进行某些授权和识别。例如我们经常遇到，为了实现远程调度或调用某些应用，需要将某个特定用户账户加入到网络每台机器上的本地Administrator组当中。有时，为了防止发生一些意外情况，例如某些拥有本地管理员权限的用户试图将Domain Admins组从其本地机的Administrators组剔除。凡此种种，都需要通过组策略进行更加严格有效的制约和管理。

GPRG（Group Policy Restricted Groups），是 组 策略对象GPOs（Group Policy Objects ）中一项内置功能，简称 RG（Restricted Groups），它可以控制AD域内任何机器中的本地组及域内成员关系。需要明确的是，RG仅影响机器账户而非用户账户，此即意味着我们调用GPOs所关联的是含有机器账户的组织单元OUs（organizational units）。如果我们编辑的是默认域GPO，那么将作用于此域内所有机器。如果编辑的是默认域控制器GPO，那么将作用于此域内所有域控制器。但是，RG并不是GPO的缺省配置，为了使用它就需要有配置环节。那么如何使用RG呢？

RG在用户组的使用方面非常丰富，比如我们将用户加入组内，也可将不在名单内的用户或组通过RG移除。另外，可以通过RG让所有Local Administrators组 内 的Domain Admins组保持成员关系。尤其是，RG能够控制关键组成员，比如Domain Admins，Enterprise Admins以及Schema Admins组，出于安全需要，防止非法账户进入这些组内，并能够管理文件服务器上本地组的成员关系，从AD域内添加全局组，从而保持组成员关系的一致性。

RG还可以进行“预配置”，例如我们可以设置一个组为“Future Local Group”，添加一个用户名为“Future User”，可当时并没有这样的组和用户存在，看似无意义，但此后出现这样的组和用户就会自动完成配置。……