通过AD组策略“受限制的组”可强制覆盖客户端本地组成员，仅保留指定域安全组（如Wkstn-Admins）、Domain Admins及本地Administrator；策略具排他性，自动清除未显式列出的成员，需链接至目标OU并执行gpupdate /force后重启生效。
通过ad组策略中的“受限制的组”功能，可以精确控制客户端本地组（如 administrators、remote desktop users 等）的成员构成，确保只有预设的域用户或安全组被加入，其他成员会被自动移除。这不是简单的“添加”，而是“强制覆盖”——策略生效后，本地组只保留你明确指定的成员。
创建专用安全组并添加目标用户
先在AD中建立一个清晰命名的安全组（例如 Wkstn-Admins），作用域选“全局”，类型为“安全组”。然后将需要获得本地管理员权限的域用户或IT支持人员加入该组。避免直接使用 Domain Users 或 Everyone 这类宽泛组，防止权限扩散。
配置GPO启用“受限制的组”策略
在组策略管理控制台中新建或编辑一条面向目标计算机OU的GPO（例如链接到 Workstations OU）。路径为：
计算机配置 → 策略 → Windows 设置 → 安全设置 → 受限制的组
右键 → “添加组”，输入你要管控的本地组名，如 Administrators（注意拼写准确，不区分大小写但建议与系统一致）。
进入该组属性后，在“这个组隶属于”区域点击“添加”，填入你前面创建的域安全组（如 Wkstn-Admins）。也可同时添加 Domain Admins 和本地 Administrator 账户（格式为 .\Administrator），确保基础管理通道不中断。
理解策略行为与验证要点
“受限制的组”策略是排他性的：一旦启用，本地 Administrators 组中未在策略中显式列出的成员（包括之前手动添加的域用户、临时提权账号等）会在下次策略刷新时被自动清除。
- 策略仅影响所链接OU下的计算机，不影响服务器或其他OU——若需隔离服务器，可对GPO安全筛选中拒绝 Server Computers 安全组的“读取”和“应用组策略”权限
- 客户端需执行 gpupdate /force 并重启（或至少注销再登录），策略才完全生效
- 验证方式：登录目标PC，运行 lusrmgr.msc → 查看 Administrators 组成员；或用 PowerShell 执行 Get-LocalGroupMember Administrators
补充说明：避免常见误操作
不要在“受限制的组”中添加空组或已禁用的用户；不要将策略链接到包含域控制器的OU（DC不适用此策略且可能引发异常）；若需为不同部门设置不同本地权限，应拆分为多个GPO+多个安全组+精细化OU结构，而非在一个策略里堆叠条件。
