一、Windows AD域控组策略设置

账号登录记录：

计算机策略—模板管理—Windows组件—Windows登录选项—“”

限制电脑登录账号：

计算机策略—Wondows设置—安全设置—用户权限分配—“允许本地登录”

禁用cmd和powershell:

用户配置—管理模板—系统—“组织访问命令提示符”“不运行指定的Winodws应用程序”

屏保&锁屏：

用户配置—管理模板—控制面板—个性化—“启用屏幕保护程序”“带密码的屏幕保护程序”

禁用组策略：

用户配置—管理模板—Windows 组件—Micro管理控制台—受到限的/许可的管理单元—组策略—“组策略对象编辑器”

限制打开“用户和组”

用户配置—管理模板—Windows 组件—Micro管理控制台—受到限的/许可的管理单元—“本地用户和组

以上操作基于windows 自带的AD域系统操作，同时推荐第二种操作方式，可以直接使用组策略管理的相关软件进行阻止内部的组策略管理和设置，以节约IT管理员的宝贵时间。

二、使用ADManagerPlus进行AD域控组策略管理

ADManagerPlus是一个基于web的Active Directory管理和报表工具，只需点击几下即可帮助为多个域管理组策略对象(GPO)。

使用ADManager Plus轻松管理Windows Active Directory组策略的每个方面：

创建GPO并立即将它链接到任何容器

启用或禁用GPO或个别配置设置（用户/计算机配置）

批量删除GPO

创建GPO链接

启用或禁用或删除GPO链接

执行GPO或移除其执行

批量阻止或取消阻止任何域或组织单位(组织单位)的GPO继承

创建GPO和GPO链接

一次性创建组策略对象并立即将它们链接到多个组织单位、域、站点，与本机Active Directory组策略编辑器（例如，组策略管理控制台(GPMC)）执行相同任务相比，可大大减少所需的时间和精力。在需要时，ADManager Plus允许您将适合的GPO链接到相关容器。

管理GPO和GPO链接
从任何节点选择多个GPO和GPO链接并立即执行以下组策略管理操作。

管理GPO管理GPO和GPO链接

编辑GPO

使用快速搜索来识别与相应组策略对象关联的用户和计算机配置的管理模板设置，并在Active Directory中编辑GPO设置。

您可以完全或部分启用或禁用GPO，也就是说，可以单独启用或禁用用户或计算机配置设置。

启用GPO链接或禁用GPO链接

使用此功能，您可以选择多个GPO链接并立即启用或禁用它们。这样就让管理员可以控制GPO的应用，以让它与组织的策略更改一致。

执行GPO或取消执行GPO

使用ADManager Plus，您可以执行GPO以轻松将特定设置强加于其他设置上。在需要时，您也可以取消执行GPO。

阻止或取消阻止GPO继承
默认情况下，组策略设置从其父对象继承而来。但是，根据您的需求，您可以选择所需的容器并阻止继承。在需要时，您也可以取消阻止继承。

删除GPO和GPO链接

根据您的需求，批量删除GPO和不需要的GPO链接。在预定义GPO报表的帮助下清理GPO，从而更容易识别未使用和已禁用的GPO并批量删除它们。

ADManager Plus提供一组预定制报表（例如， 最近创建的GPO、GPO阻止继承容器等），从而更容易立即获取GPO相关信息。免费下载ADManager Plus，可以试用所有这些功能。