一、简介 公司大部分主机加入域已有一段时间了，由于某软件没管理员权限不能执行，所以管理员权限一直没撤销，不能完全实现域的管理效果。但起码实现了域用户脱离不了域的控制：http://www.cnblogs.com/sjy000/p/4713389.html。 撤销管理员后，所有 ...
一、简介
公司大部分主机加入域已有一段时间了，由于某软件没管理员权限不能执行，所以管理员权限一直没撤销，不能完全实现域的管理效果。但起码实现了域用户脱离不了域的控制：http://www.cnblogs.com/sjy000/p/4713389.html。
撤销管理员后，所有用户加入Power Users组，只有主管仍是Administrators组。Power Users组可以正常访问本地所有资源，不能安装软件、修改注册表、修改TCP/IP、修改计算机等。同事修改计算机设置时，向SA申请，SA使用管理员账号登录后修改；安装软件由SA则使用批处理输入程序的完整路径后开始安装，批处理用的是runas命令，让普通用户以管理员的身份执行程序。软件管理方式还可使用域组策略部署。
另外还有个域组策略脚本执行身份的问题需解决。域组策略脚本是以登录的用户身份执行的，而用户身份只是属于Power Users组，当脚本的命令涉及修改系统设置，就无法生效了。这时还得使用runas命令解决，让原脚本以管理员身份执行。
二、服务器配置
1、域用户撤销本地管理员，禁止本地用户登录
Administrators组成员设为只有域Domain Admins，Power Users与Users组只有Domain Users。
该设置还有额外的效果加成——本地用户无法登录，因为这些用户不再属于这三个本地组了。
2、在客户端执行一次runas，保存管理员的密码
域TEST.COM，管理员账号administrator。
/env选项表示以当前环境运行；/savecred选项表示执行一次后保存密码。
runas /env /savecred /user:TEST\administrator calc.exe
海外公司注册、海外银行开户、跨境平台代入驻、VAT、EPR等知识和在线办理：https://www.xlkjsw.com
原标题：AD域撤销域用户管理员权限方案
关键词：
*特别声明：以上内容来自于网络收集，著作权属原作者所有，如有侵权，请联系我们：
admin#shaoqun.com
（#换成@）。
