域用户如何加入域，如何登陆服务器？

开始-----管理工具-----域安全策略------安全设置copy------本地策略------用户权限分配百
双击允许在本地登录、添加普通用户账户。
开始------运行-----gpupdate
刷新域安度全策略。
此时就可以用普知通用户登陆了。登录上时普通用户的权限，不能改ip
不能创建共享、道不能格式化硬盘、

当服务器升级成为域服务器以后，本地用户会被禁用，所有的本地用户都会自动成为域用户（域用户包含了本地用户的所有权限）。
而建立域用户，你需要到管理工具》AD用户和电脑》users里添加。（我用的是繁体版的2000，可能与简体版的不太一样，但是位置是差不多的）

1 如果你要远程登录的是普通计算机，只要把用户加入到Remote Desktop Users组就可以了。 2 如果你要远程登录域控制器，还需要： 在组策略编辑器中，定位到计算机配置->Windows设置->安全设置->本地策略->用户权限分配 在“允许在本地登陆”中加入Remote Desktop Users组 在“通过终端服务允许登陆”中也加入Remote Desktop Users组 3 如果默认的设置被修改了，当然也会无法登录 比如默认情况下，终端服务配置只允许本地administrators组和remote desktop users组成员访问终端。如果remote desktop users组成员根本就不能访问，那就是默认配置被修改了。

1、首先在开始菜单中打开控制面板，或通过等待命令“control”打开控制面板。

2、在控制面板中找到“用户帐户”，点击打开用户。

3、然后在打开的页面中，点击管理用户选项。

4、接着在打开的面板中，单击添加按钮。

5、添加新帐户，输入自己的用户名及域名，点击下一步。

6、在这三个选项中，选择第三个“其它”，在下拉菜单中选择Administrators，点击完成，就可以了。

===============================================
对于安装有不同 *** 作系统的服务器来说，我们可以通过不同的方法来实现！例如，对于普通的Windows 2000服务器系统来说，我们可以逐一单击系统“开始”菜单中的“设置”、“控制面板”命令，打开系统的控制面板窗口，然后双击其中的“管理工具”图标，在其后界面中再双击“终端服务配置”选项。
接着进入终端服务配置界面中的RDP-TCP属性设置窗口，然后单击其中的“权限”选项卡，在对应的选项设置页面中，单击“添加”按钮，打开服务器系统的权限选择对话框，在该对话框中我们可以将事先指定的普通帐号选中并导入进来，再给该帐号设置合适的控制权限，就能实现以普通帐号身份来远程管理服务器的目的了；由于普通帐号的权限与超级管理员权限相比要小多了，因此以这种帐号身份来远程管理服务器时，存在的安全威胁就要小许多。
如果服务器安装的是Windows 2003 Server系统的话，那么我们可以逐一单击系统桌面中的“开始”、“运行”菜单命令，打开系统的运行对话框，在其中执行字符串命令“compmgmtmsc”，进入服务器系统的计算机管理窗口。
在该窗口的左侧列表区域，用鼠标逐一展开“计算机管理（本地）”、“系统工具”、“本地用户和组”、“组”分支，在对应“组”分支的右侧显示区域，找到Remote Desktop Users选项，并用鼠标双击之。
在其后出现的Remote Desktop Users属性设置窗口中，单击“添加”按钮，打开服务器系统的权限选择对话框，在该对话框中我们可以将事先指定的普通帐号选中并导入进来，这样我们日后就能以普通帐号身份来使用远程桌面访问功能，来对服务器进行远程管理和维护了。

0x01 介绍

在实际生产环境中，由于Windows AD域的限制，桌面对客户端电脑进行软件安装或其他系统配置时，均需要管理员权限，而网内客户端众多，不同客户端电脑密码可能都是不同的，也经常忘记本地管理员密码，所以这时候就需要批量变更客户端的本地管理员密码。

0x02 环境介绍

DC：Windows Server 2012R2 域名：yeahlocal

CLIENT:Windows 7 已经将客户端加入域

0x03 *** 作步骤

1 首先在DC上用于与计算机控制台，新建一个计算机OU，便于管理，将刚加入域的计算机移动到这个OU中。

2 在DC上打开组策略管理工具，新建一条策略，命名自己能看懂即可

3 并对此策略进行设置，依次展开 计算机配置— 策略 — Windows设置 —安全设置 — 安全选项 — 账户：重命名系统管理员账户 将administrator用户重命名其他，此处修改为Local_admin。

4 然后再回到Windows设置 — 脚本(启动/关机)，新建一条启动脚本。

#启动脚本内容：意思为新建administrator用户，密码设置为passwd1!,启用此账户

net user administrator passwd1! /active:yes

将脚本内容复制到txt，另存为cmd后缀或者bat后缀文档，然后点开启动属性，点开显示文件，出来路径，将脚本文件粘贴到路径中，再点开编辑浏览到刚才路径，选中写好的开机脚本文件。

另外，有时候还有特殊需求，比如域中客户端用户由于一些特殊原因需要本地管理员权限，有这个需求的时候又不可能每次到跑到客户端 *** 作电脑，因 此可以使用受限制的群组，设定，当域中某些特定用户需要有本机管理员权限的时候就可以直接在AD服务器上 *** 作即可。

5 回到用户和计算机管理工具，在Users中新建一个组，命名为Local-admins并将张三加入到此用户组测试。

6 再回到组策略管理工具中，此处依旧挂载在这条GPO策略上，找到计算机配置 — Windows设置 — 安全设置 — 受限制的组 新建Administrators 组，并将默认需要添加到客户端本地管理员的用户与用户组添加进来。

7 确定后关闭这条GPO编辑页，回到组策略管理工具，找到之前新建的yeah-Computers计算机组的OU，右键链接到现有GPO找到刚新建的GPO，链接确定。

8 此时，到DC服务器中强制刷新组策略。

#强制刷新组策略命令

gpupdate /force

9 找一台客户端验证策略是否生效，以本地管理员用户Local_admin登录，查看策略是否生效，因为应用的是计算机策略，只能在本地管理员账号下看到策略是否应用。

#查看当前用户计算生效gpo

gpresult/r

#如发现策略没应用，可多执行几次强制刷新策略命令

gpupdate /force

10 可以看到策略已经应用，我们再切换用户，以张三登录客户端，右键点击计算机，计算机管理–本地用户和组–组–administrators，可以发现当前已经有我们设定的用户组位于本地管理组中了。

到此已经完成需求的所有 *** 作，即通过GPO统一设置域内计算机本地管理员账户重命名为Local_admin,并在AD上新建一个Local-Admins用户组，将这个组加入到客户端本地管理员组中，后续需要用到本地管理员的域用户只要在AD上将用户加入到这个组即拥有本地管理员权限

---