GPO：如何限制能够login到PC的用户？

在一个活动目录域中，我希望将一些PC分配给单个人。例如在computer_a上，唯一允许login的人应该是person_a加上各种pipe理员。

我发现一个常见的解决scheme是使用本地loginGPO，但这需要为每台计算机创build一个新的GPO和OU，因为每台计算机都将分配给不同的用户。有没有更好的办法？

我正在尝试的一个可能的select是：

使用GPO从本地用户组中删除以下帐户：NT AUTHORITY \ INTERACTIVE和NT AUTHORITY \ Authenticated Users
将用户域帐户添加到本地用户组

这似乎工作正常，但我担心由于两个特殊小组的移除可能造成的问题。

有更好的解决scheme吗？

最后这是我做的：

使用“允许本地login”策略来仅允许“BUILTIN \ Administrators”，“DOMAIN \ Domain Admins”和“allowlogon”组。其中allowlogon是每台计算机上的本地组
通过GPP在每台机器上创buildallowlogon本地组
在刚刚join域的每台机器上，只需将指定的用户添加到allowlogon组即可，并且他将是唯一允许login的用户（ net localgroup allowlogon /add DOMAIN\user ）
- 还可以通过ADpipe理allowlogon成员资格，而不使用更多的GPO，而只需为每台计算机（ allowlogon-computer1 ）创build一个全局安全组，然后在其中放入允许login的用户。 allowlogon-computer1组需要被添加到computer1的本地allowlogon组中，但是这可以通过使用allowlogon-％COMPUTERNAME％的GPP来完成。（它似乎不能简单地将allowlogon-％COMPUTERNAME％添加到“允许本地login”策略）