防止域用户在本地login域计算机

所以我pipe理这个域，其中用户主要是我们公司的员工谁被允许login到我们的域内的公司电脑。 这实际上是开箱即用的，因为所有用户都是默认的Domain Users 。

但是，我也有这些第三方软件提供商需要在某些服务器上具有pipe理员angular色的帐户，但通常需要禁止login到其他域计算机。

以下是我所尝试的：假设我创build了一个名为John的帐户，他被分配了安全组ThirdPartyStaff SG作为他的主要组。 他然后从内置的“ Domain Users组中删除。 现在ThirdPartyStaff SG和John都不是任何其他组的成员。 然后ThirdPartyStaff SG在某个服务器上具有pipe理angular色。 所以John不应该能够访问任何域名资源，对吧？ 但他仍然可以在本地login到任何域计算机（不是远程的，因为他既不在pipe理员也不在RDP组）。

所以现在我担心，除了本地login之外，他可能还有其他权限（比如共享文件夹或远程计划任务pipe理等），我不知道。

• Azure ADauthentication与本地服务器
• CentOS 6.9，jwhois不完整的输出
• 域名完美外部，使用safari内部的问题
• 域pipe理员 – 恢复权限
• 我有一个域指向一个不同的主机，但想要在子域上设置Google CDN

现在我必须提出一个具体的规则，说明ThirdPartyStaff SG拒绝通过GPO进行本地login，以阻止他们login。 虽然这个窍门，但我真的想知道：

1. 这种行为背后的原因（或者我所理解的错误）
2. 你通常会如何照顾第三方员工，只给予他们指定的权利，并带走其他一切 – 不需要太多容易忘记的调整

谢谢。