面对域组策略，如何作为虚拟账户的服务权限login？

我想使用虚拟帐户NT SERVICE \ MSSQLSERVER运行SQL Server服务的默认SQL Server安装程序。 这可以确保我的SQL Server在自己的机器上具有有限的访问权限，并且如果应该被黑客攻击，则不能访问networking资源。 但是，我们的域也有一个组策略，为其他几个（域）设置“login为服务”权限。

你可能已经猜到，或者甚至是经历过我的问题：

将域GPO应用于服务器（至less每天）时，它将撤消由SQL Server安装程序（或SQL Serverconfigurationpipe理器或其他本地计算机策略configuration）完成的“login为服务”权限分配。 然后在下一次SQL Server服务重新启动时（这可能是几个小时或几个月后），将阶段设置为错误“服务未启动”错误。

以下是我所知道的：

• 服务器2016不在计划时间重新启动
• 您可以使用组策略强制实施Internet Explorer 6 AcceptLanguage标头吗？
• 我如何删除密码到期策略？
• 使用Windows组策略将打印机更改为黑白
• 通过组策略拒绝访问Windows XP客户端计算机的可移动存储介质

• 我无法将虚拟帐户添加到域GPO，因为它是机器本地SID。
• 域组策略会覆盖本地机器组策略，所以我将不得不对域组策略做些事情。

“用户权限分配”元素位于“计算机设置\ Windows设置\安全设置\本地策略设置”下，因此无法引用本地计算机帐户， 也许这是一个错误。

以下是我正在考虑的方法：

• 我可以删除应用login为服务的域GPO元素，并通过本地组策略（在一堆服务器上）执行此操作。
• 我可以将服务器移到没有应用此GPO元素的OU中。 目前违规的GPO是我的默认域策略，所以我不得不重构一些东西。
• 我可以在每台SQL Server计算机上运行一些工具，以便在域组策略运行之后重新build立“login即服务”权限，或者频繁地发生，以致于很less被发现。

有没有人有其他的build议或工作解决scheme给我？