Negar o grupo de usuários AD a efetuar login em um determinado grupo AD-Computer

Question

Eu tenho (simplificado) dois grupos de anúncios para usuários:

bgs.ac.at\Students
bgs.ac.at\Teachers

Eu tenho (simplificado) dois grupos de AD para computadores (como em duas salas)

bgs.ac.at\Room1
bgs.ac.at\Room2

Eu quero que os alunos façam login apenas computadores na Sala1.

Eu configurei uma Política de Grupo ("denyStudents") para bgs.ac.at \ Room2 e configurei

Configuração do computador > Políticas > Configurações de segurança > Políticas locais > Atribuição de direitos de usuário. > Negar logon localmente

Neste momento estou preso ...

Como incluo bgs.ac.at \ Students neste momento ??

    

Answer 1

Parece que há alguma terminologia confusa aqui entre a UO e o grupo. Uma OU, ou Unidade Organizacional, é basicamente onde você aplica a política de grupo. Um grupo é um grupo de usuários.

Se você quiser usar a abordagem em sua pergunta, precisará criar um grupo que contenha os alunos e consultá-los em sua política.

Se você quiser usar a abordagem do Zoredache (recomendado), será necessário criar um grupo que contenha os professores e consultá-lo em uma política em Configuração do computador - > Preferências - > Configurações do painel de controle - > Usuários e Grupos Locais (substitua Usuários do Domínio pelo grupo Professores).

    

Answer 2

Será muito melhor não conceder permissões de login aos usuários, em vez de tentar negar o acesso.

Uma solução simples seria apenas usar uma política de grupo para modificar a associação do grupo Usuários nas máquinas locais.

Remova o domain.tld\Domain Users que é adicionado automaticamente depois de ingressar no domínio e, em seguida, adicione um grupo de segurança que contenha o conjunto de usuários que você deseja ter acesso à máquina nesse grupo.

Assim, a associação de .\Users nos computadores Room1 pode ser assim.

• bgs.ac.at \ Estudantes
• bgs.ac.at \ Professores

E o Room2 pode se parecer com isso.

• bgs.ac.at \ Professores