我有一个Windows 7企业PCjoin到一个域。 如果不使用任何域级别的安全措施，如何限制某一组用户（学生）login，但允许其他组（员工）
我不知道你的意思是什么“域级安全”位…但是， 正确的方法是将Win 7 PC放入Active Directory中的自己的OU中，并将组策略应用到该OU。 在组策略对象编辑器中，转到：
计算机configuration – > Windows设置 – >安全设置 – >本地策略 – >用户权限分配，并find名为“拒绝本地login”的策略设置。 将学生添加到该组中，他们将被阻止login到该策略适用的计算机。
（从Ben窃取一些文本）
假设你至less有AD组分隔两名学生和工作人员，你可以尝试以下方法：
计算机configuration – > Windows设置 – >安全设置 – >本地策略 – >用户权限分配，并find名为“拒绝本地login”的策略设置。
添加NTAUTHORITY \ Authenticated Users组如果没有组策略已经处理此。
然后，将AD员工组明确添加到机器的用户组。 （并删除任何其他提供广泛访问AD的成员的组织。）