AD权限调整方案咨询
问题
答案
-
尊敬的客户，您好！
根据您的描述，请确认以下几点信息：
1.【域管理员登录限制】使用的是用户策略还是计算机策略？请提供具体的组策略信息？
2.【总部终端运维】里面存放的是计算机对象还是用户对象？【tempcomputers】和【xxxx股份有限公司】里面存放的是计算机对象还是用户对象？
3. 子公司的域控制器是否包含在【tempcomputers】或者【xxxx股份有限公司】中（或者【tempcomputers】和【xxxx股份有限公司】这两个中）？
根据我的理解，我们需要限制域管理员登录终端，但是经过上面的一系列设置以后，我们的域管理员无法登录子公司的域控制器。如果我们配置的计算机策略，并且子公司的这些域控制器包含在【tempcomputers】或者【xxxx股份有限公司】中（或者可能同时存在于【tempcomputers】和【xxxx股份有限公司】这两个OU中），那么我们可以使用Security Filtering，使得这个组策略不应用于子公司的这些域控制器。
我们可以尝试按照以下步骤执行：
1.把子公司的这些域控制器放入到一个组中，假如这个组叫做group0.
2.点击【域管理员登录限制】这个组策略对象，点击右边的Scope,定位到中间的Security Filtering,点击Add,把group0添加进来。
3.点击Scope旁边的Delegation,我们可以在Groups and Users下面看到刚才加入的group0,选择group0,点击右下角的Advanced.
4.看到如下的Security Settings，选择group0,我们可以看到对于group0这个组来说，默认的情况下，有读取和应用组策略的权限（即Allow Read 和Allow Apply group policy对应的小方框是✔的），那么我们可以设置这个组不让它有读取和应用组策略的权限，就是取消Allow Read 和Allow Apply group policy对应的小方框里的✔。
5. 在目标计算机上更新组策略（计算机策略需要关机重启，用户策略需要注销重新登录）使得组策略生效，查看域管理员是否可以登录到子公司的域控制器。
您可以尝试以上操作，如以上方法无效，请确认上面的信息，如有不清楚的地方，您可以随时咨询我们。
参考文档：
Filtering the Scope of a GPO
https://docs.microsoft.com/en-us/previous-versions/windows/desktop/Policy/filtering-the-scope-of-a-gpo
此致，
Daisy Zhou
如果有帮助，请记得将回复标记为答案。
如果您对TechNet订户支持有反馈，请联系tnmff@microsoft.com.
- 已编辑 Daisy ZhouMicrosoft contingent staff 2018年12月18日 8:50
- 已标记为答案 RanRan,Zhao 2018年12月24日 0:48
全部回复
-
尊敬的客户，您好！
根据您的描述，请确认以下几点信息：
1.【域管理员登录限制】使用的是用户策略还是计算机策略？请提供具体的组策略信息？
2.【总部终端运维】里面存放的是计算机对象还是用户对象？【tempcomputers】和【xxxx股份有限公司】里面存放的是计算机对象还是用户对象？
3. 子公司的域控制器是否包含在【tempcomputers】或者【xxxx股份有限公司】中（或者【tempcomputers】和【xxxx股份有限公司】这两个中）？
根据我的理解，我们需要限制域管理员登录终端，但是经过上面的一系列设置以后，我们的域管理员无法登录子公司的域控制器。如果我们配置的计算机策略，并且子公司的这些域控制器包含在【tempcomputers】或者【xxxx股份有限公司】中（或者可能同时存在于【tempcomputers】和【xxxx股份有限公司】这两个OU中），那么我们可以使用Security Filtering，使得这个组策略不应用于子公司的这些域控制器。
我们可以尝试按照以下步骤执行：
1.把子公司的这些域控制器放入到一个组中，假如这个组叫做group0.
2.点击【域管理员登录限制】这个组策略对象，点击右边的Scope,定位到中间的Security Filtering,点击Add,把group0添加进来。
3.点击Scope旁边的Delegation,我们可以在Groups and Users下面看到刚才加入的group0,选择group0,点击右下角的Advanced.
4.看到如下的Security Settings，选择group0,我们可以看到对于group0这个组来说，默认的情况下，有读取和应用组策略的权限（即Allow Read 和Allow Apply group policy对应的小方框是✔的），那么我们可以设置这个组不让它有读取和应用组策略的权限，就是取消Allow Read 和Allow Apply group policy对应的小方框里的✔。
5. 在目标计算机上更新组策略（计算机策略需要关机重启，用户策略需要注销重新登录）使得组策略生效，查看域管理员是否可以登录到子公司的域控制器。
您可以尝试以上操作，如以上方法无效，请确认上面的信息，如有不清楚的地方，您可以随时咨询我们。
参考文档：
Filtering the Scope of a GPO
https://docs.microsoft.com/en-us/previous-versions/windows/desktop/Policy/filtering-the-scope-of-a-gpo
此致，
Daisy Zhou
如果有帮助，请记得将回复标记为答案。
如果您对TechNet订户支持有反馈，请联系tnmff@microsoft.com.
- 已编辑 Daisy ZhouMicrosoft contingent staff 2018年12月18日 8:50
- 已标记为答案 RanRan,Zhao 2018年12月24日 0:48
-
Hi Daisy，
首先非常感谢您如此耐心、专心的解决我的问题。
为了更好的让您了解策略内容以及OU情况，我给你整理了一张截图，您看一下。
1.【域管理员登录限制】使用的是用户策略还是计算机策略？
答：计算机策略，详细策略内容如上图。
2.【总部终端运维】里面存放的是计算机对象还是用户对象？【tempcomputers】和【xxxx股份有限公司】里面存放的是计算机对象还是用户对象？答：总部端运维组，里面包含的是用户对象，也就是信息运维的员工；
tempcomputers OU下面，存放的是新加域的计算机（还未移动到各个分厂计算机OU下面）；【xxxx股份有限公司】这个是公司的总OU，下面包含各个分厂OU、总部OU的计算机信息和用户信息；
3. 子公司的域控制器是否包含在【tempcomputers】或者【xxxx股份有限公司】中（或者【tempcomputers】和【xxxx股份有限公司】这两个中）？答：子公司的域控制器是否包含在【xxxx股份有限公司】OU-制造中心OU-各个分厂OU-域控服务器OU；
目前的问题，我的账户为域管理员账户但是我登录分公司DC，出现拒绝登录的报错，如下所示：
Daisy，我尝试应用你给的方案创建一个DC组，并将分厂DC加入该组，在域管理员限制登录策略范围里添加DC组，然后委派高级里面，取消勾选只读和应用组策略，然后刷新完，我发现该DC组消失了，是不是应该勾选拒绝读取和应用组策略。
期待您的回复。
- 已编辑 RanRan,Zhao 2018年12月19日 6:42 更新问题
-
尊敬的客户，您好！
不客气，很高兴为您服务。
我发现是“拒绝以服务身份登录”这个设置限制了域管理员远程登录到子公司的域控制器。通常域管理员默认在Local Users and Groups->Groups->Remote Desktop Users，可以通过Remote Desktop Services登录到子公司的域控制器。因为是域控，也无法手动添加到这个域控制器的本地路径（当服务器被提升为域控制器的话，这个路径就无法打开了）现在这个策略限制了域管理员这样的登录方式。
管理员可以使用不同的方法来阻止GPO策略应用于特定组（例如，应用于管理员）。
1. 建议的方法是删除（不勾选 允许）组的读取和应用组策略ACE。
2. 另一种方法是删除经过身份验证的用户的“应用组策略ACE”，然后通过选中“允许”应该接收策略设置的各个安全组来明确授予权限。也就是把Authenticated Users（这个组是所有经过认证的域计算机和域用户，这个组可以是计算机组也可以是用户组，我们这里都是计算机对象，所以应该是计算机组）这个组删除，加入其他所有需要应用这个组策略的计算机组（一个或者多个组）虽然这些计算机都放在指定的OU里，并且组策略应用于这些OU，但是OU里还包含了子公司的域控制器，我们并不想这个策略应用于子公司的域控制器。
3. 我们还可以将“应用组策略ACE”设置为“拒绝”，以用于不需要该策略的用户组。（提示:组的拒绝ACE设置优先于（用户或计算机属于另一个组的成员身份）授予的允许ACE设置。也就是假如域管理员属于不同的组，组1和组2，对于同一个对象的访问权限，组1设置允许访问这个对象，组2设置拒绝访问，那么这个域管理员就是被拒绝访问这个对象，这样设置可能会引起冲突。）
可以尝试以上三种方法，如有不清楚的地方，您可以随时咨询我们。
1. 我想确认下，您说的DC组消失了，是在哪里消失了？
2. AD用户和计算机里消失了还是在Scope里消失了？
3. 如果在Scope里显示了，是不是在添加的时候没注意忘记点击确定了呢？尝试重新添加这个DC组试试呢。
此致，
Daisy Zhou
如果有帮助，请记得将回复标记为答案。
如果您对TechNet订户支持有反馈，请联系 tnmff@microsoft.com.
- 已编辑 Daisy ZhouMicrosoft contingent staff 2018年12月19日 9:40
