为外部支持人员设置有限的AD帐户

我正在尝试为活动目录中的外部公司设置有限帐户。 他们需要连接到一台服务器来设置他们的软件。 我创build了一个名为“有限访问”的新组，将其作为主组，并将其从所有其他组（包括域用户）中移除。 我还没有为他们应该有权访问的服务器分配任何权限。

但显然，这不足以阻止他们login到我的所有服务器。 他们无法通过RDP访问任何内容，但可以在本地login到我的Windows 2008R2服务器。

我查看了所有组策略，并且“计算机configuration\策略\ Windows设置\安全设置\本地策略\用户权限分配\允许本地login”未定义。

在本地安全策略中，相同的设置列出了“pipe理员，备份操作员，用户”。 用户是否包含活动目录中的任何人，即使他们不在域用户中？

• 是否有可能检测到数据库连接是复制而不是原始数据库？
• 在同一个networking中的几个边界防火墙
• 如何在分叉进程时设置ulimit（fd）？
• 在不使用手动密码input的情况下保护VMWare映像
• 保护dnsmasq – 接口（s）？

我希望这个特定的用户只能被允许login到一个服务器来设置他们的软件。 我需要做些什么来防止他们login到其他系统？

编辑：多一点挖掘显示Authenticated Users和INTERACTIVE是本地用户组的成员…从我读过的，这可能是不明智的改变。 那么创build一个访问NOTHING的用户帐户的正确方法是什么，然后给他们几个机器的特定权限？