如何通过组策略将指定用户加入本地计算机管理员组

（1）在AD中新建Helpdesk用户组，添加相关的Helpdesk用户，新建ServerComputer组，将所有的服务器添加到该组中。
（2）在DC上打开“AD用户和计算机”，打开域的属性窗口，在组策略选项卡中单击“打开”按钮打开组策略管理，
新建一个组策略Helpdesk，并将该组策略链接到域上，对所有域用户生效，如图：
（3）右击“Helpdesk”，在d出式菜单中选择“编辑”，那么就可以d出我们熟悉的组策略编辑器了。
（4）依次展开“计算机设置”、“Windows设置”、“安全设置”、“受限制的组”，然后新建组“Helpdesk”，这个组隶属于“Administrators”组，如图：
这样设置后所有域中的计算机在应用策略后都会将Helpdesk组添加到本地的
Administrators组中。
（5）右击左侧控制栏的“Helpdesk[xxxcom]策略”，在d出式菜单中选择“属性”选项，并切换到安全选项卡，添加服务器计算机组ServerComputer，然后在下面的权限中设置其拒绝应用组策略。
（6）“确定”，完成组策略的设置。这个时候在员工计算机上运行gpupdate /force可以强制马上刷新组策略，看到Helpdesk已经添加到Administrators组中。

sever2016中密码策略都是灰色是因为受到域的管理。解决方法
1、打开组策略管理界面：管理工具>>组策略管理，如果找不到该功能，则需要先安装，在服务管理器里面添加新功能。（或者:开始——运行—gpmcmsc）
2、依次打开林>>域>>组策略对象>>"DefaultDomainPolicy"。
3、右键"DefaultDomainPolicy"，选择编辑，找到密码策略。
4、双击各个属性设置，修改相应的策略。
5、在服务器上以管理员身份运行gpupdate/force，强制更新策略，密码策略的灰色就消失了。

比较简单有效的方法是对整个域用户设置一个组策略，该组策略实现将Helpdesk用户组添加到本地计算机中，同时对该组策略的安全作出限制，对所有服务器计算机deny其“应用组策略”。具体 *** 作是这样的：
（1）在AD中新建Helpdesk用户组，添加相关的Helpdesk用户，新建ServerComputer组，将所有的服务器添加到该组中。
（2）在DC上打开“AD用户和计算机”，打开域的属性窗口，在组策略选项卡中单击“打开”按钮打开组策略管理，
新建一个组策略Helpdesk，并将该组策略链接到域上，对所有域用户生效，如图：
（3）右击“Helpdesk”，在d出式菜单中选择“编辑”，那么就可以d出我们熟悉的组策略编辑器了。
（4）依次展开“计算机设置”、“Windows设置”、“安全设置”、“受限制的组”，然后新建组“Helpdesk”，这个组隶属于“Administrators”组，如图：
这样设置后所有域中的计算机在应用策略后都会将Helpdesk组添加到本地的Administrators组中。
（5）右击左侧控制栏的“Helpdesk[xxxcom]策略”，在d出式菜单中选择“属性”选项，并切换到安全选项卡，添加服务器计算机组ServerComputer，然后在下面的权限中设置其拒绝应用组策略。
（6）“确定”，完成组策略的设置。这个时候在员工计算机上运行gpupdate
/force可以强制马上刷新组策略，看到Helpdesk已经添加到Administrators组中。但是现在如果登录服务器也可以看到，Helpdesk也会被加入到Administrators组中，为什么呢？
因为计算机被加入到组中后计算机如果没有重启，那么他是不知道自己在这个组中的，所以组中的计算机必须重启！重启后就可以看到Helpdesk是不会被添加到Administrators组中的。
服务器需要24小时运行，不允许重启怎么办？可以将服务器一台一台的添加到（5）步中的安全控制中，分别对每一台计算机设置拒绝应用组策略即可。

---