企业域安全设置(二)

在针对大型企业的域渗透过程会发现，即使拿域管理员的账号密码去登录某些域内机器，也提示不允许登录。而某些普通域用户可以登录，这是为什么呢？且看文章讲解。

企业组策略安全设置

将域管理员从本地管理员组中移除

默认情况下，机器加入域后，域管理员都会加入机器的本地管理员组中！这也就造成了一定的安全隐患。现在需要配置组策略将域管理员从其它域内机器的本地管理员组中移除！ 首先针对需要应用的OU新建一个组策略test，然后编辑该test组策略。 计算机配置——>策略——>Windows设置——>安全设置——>受限制的组，然后右键添加组

输入administrators组，点击确定

会打开administrators属性对话框，这里我们什么都不填写，点击确定即可。 注：这个组的成员列表的用户是强制添加到administrators组的，如果这里面不填写，则administrators组中将只有administrator账号，其他账号都会被移除！

然后域内机器更新组策略，会发现本地管理员组中除了administrator用户外其他用户都被移除了。

将登录用户加入到本地管理员组中

在企业中，每个员工都有自己的个人PC机器，个人PC机器加入域，他们自身的域用户是普通域用户，默认对自身PC是没有管理员权限的。所以需要通过组策略部署，当员工使用自己的域用户登录自身机器的时候，默认会将当前登录的域用户加入本地管理员组中！ 注：但是这样有个隐患，就是其他员工使用域用户登录你的PC机器的时候，也会加入本地管理员组中。 首先针对需要应用的OU新建一个组策略test2，然后编辑该test2组策略。 用户配置——>首选项——>控制面板设置——>本地用户和组，然后右键新建——>本地组

选择administrators(内置)，勾选添加当前用户

当组策略生效后，以域用户登录机器，该域用户都会加入该机器的本地管理员组中。

两者应用

如果要同时应用上面两种组策略，即将域管理员从本地管理员组中移除，并将当前登录的域用户加入本地管理员组中。 需要第一个组策略放在上面，第二个组策略放在下面。 也就是说先应用test组策略，即将本地管理员组中除了administrator用户外其他的都移除。再应用test2组策略，将当前登录的域用户加入本地管理员组中。这样的话，域用户登录个人机器，机器中本地管理员组中只有administrator用户和当前的域用户。