活动目录“否定”组成员 – 组的组减去一些用户

我觉得这一定是一个常见问题，但我一直没有find正确的术语来find答案。

我有一个很大的活动目录组，其中包含101％的用户，我想要访问某个资源的组。

我想以某种方式明确地从这个组中删除一些用户，但将他们留在他们最初的组（这是顶级组的成员）。

例如：

• 计算机和用户GPO之间慢速链接检测中的不同带宽
• 授予OU权限的用户启用和禁用其OU的用户
• Windows – 来自域外的Kerberos SSO
• Samba4 DC不能启用TLSencryption
• 在Active Directory中，可以指定哪个域控制器对用户进行身份validation？

G1 = A,B,C G2 = D,E,F G3 = G1 + G2 - F = A,B,C,D,E 

我认为在某些情况下，我可以通过组策略明确地删除这样的权限。 在这种情况下，这不起作用，我正在与Isilon NAS合作。 它看着小组成员，没有别的。

AD域由中央ITpipe理; 我相信它现在在Windows 2012 R2上运行，但我不是100％确定这一点。