Windows Server 2012 AD DS环境下域用户自动加入本地管理员组

    遇到的小伙伴多了，就会发现小伙伴需求真是各类各样，就像客户端加入域同样，有的客户就要求，加入域以后，此员工的域帐号自动加入本地管理员组；也有客户要求，加入域后，此员工的域帐号只能是受限制的普通USER，不能有任何多余的权限，包含修改网络配置等。好吧，用户的需求都是有道理的。下面，我们就来看一下，如何实现加入域以后，自动加入到本地管理员组。

    咱们的Server01是一台域控制器，而后再找一台Win8.1作客户机，至于说如何升级域控制器，在此就再也不描述了，网上的资料一大把。至于把域用户加入本地管理员组，使用的就是：用户配置首选项中“本地用户和组”。用于将登陆账号自动加入本地管理员组的场合。或者是使用计算机配置首选项中“本地用户和组”，用在将重要的域组加入客户端本地管理员组。

咱们看一下具体设置：

使得用户配置首选项“本地用户和组”将登陆帐号自动加入本地管理员组

    登陆到域控制器，打开基于域的策略-----用户配置---首选项---控制面板设置---本地用户和组，如下图所示：

在右侧空白处，新建本地组，以下图所示：

由于是要修改客户端计算机上的本地组信息，因此选择新建本地组。

    操做中的“更新”表明更新域客户端Administrators组中的成员，而不是新建组；“添加当前用户”表示添加登陆时的域账号到客户端系统的本地Administrators组，只要域账号一登陆，就把它加入本地管理员组，也能够同时选中右边的“删除全部成员用户”或者是删除全部成员组，意思是将当前登陆的用户加入到本地管理员组的时候，删除其余成员用户或者是组，以起到动态加入管理员组的效果，也就是始终保持最近登陆的用户是在管理员组中，其余用户删除，可是须要注意，。在此咱们不选择，先看一下效果。

    咱们到Win8.1上进行登陆，查看当前用户有没有加入到管理员组，注意，由于我这里是客户的一个真实POC环境里，我就把一些敏感信息马赛克了。

    登陆成功以后，咱们去打开此客户机的本地用户和组，双击打开 administrators组，能够看到下面的界面，明白人不用细说：

    实验成功了！此时，此登陆的用记及是管理员了，权限大大的，什么修改网络配置、安装软件、卸载软件、修改系统配置，通通都是张飞吃豆芽！若是想只保留当前用户，而删除其余用户，则以下图所示的操做：

    固然，没必要像我图中作的这么惨忍，domain admins仍是能够保留的。而后，客户端从新登陆，再次打开adminstrators查看，以下图所示：

    可是注意，此场景只适合于Win7及之后的操做系统，像XP/2003等须要安装插件，以使用“首选项”功能生效，下载地址：https://technet.microsoft.com/zh-cn/library/cc731892(WS.10).aspx

估计你们是用不到了，毕竟都已是两个退役的产品了。另一点，就是若是是但愿将某个组都加入到本地管理员组，则建议使用计算机配置下的“本地用户和组”功能。