在创建计算机后设置“以下用户或组可以加入域”

Question

我遇到过用户可以在AD中创建计算机的问题，除了在AD中创建计算机的用户外，没有其他人可以将计算机加入域中。

在管理工具中创建计算机时，有一个标题为“以下用户或组可以加入域”的选项，如果将其设置为某个组，则该组可以加入域。

当我在管理工具中查看计算机的属性时，我无法在任何地方找到此设置。

我在哪里可以找到此设置？可以使用脚本更改此设置吗？

Answer 1

这不是一个真正的设置，而是权限。向导的作用是将计算机加入到您指定的用户/组的对象上的该计算机对象所需的权限。

人们通常做的是将用户添加到具有加入计算机所需权限的ADgroup;在启用了继承的计算机的父容器上分配的权限。

如果您只需要让那个人能够加入这台电脑，您需要编写脚本。例如：

• 创建计算机对象并在向导中选择特定用户。
• 使用ADSI或Powershell等导出在该计算机对象上为指定用户创建的ACL
• 创建一个脚本，为指定计算机上的指定用户分配相同的权限。