1、首先针对某个OU进行GPO编辑
计算机配置——策略——Windows设置——安全设置——受限制的组
例如将administrators组限制为只有administrator和manyour两个成员
2、登录到实验中的adtest-pc这台计算机，可以看到原来administrators组里的成员
3、强制刷新组策略后会发现administrators组里的成员发生了变化
4、我们再次用管理员帐号进行登录这台adtest-pc计算机，在administrators组里增加manyou1用户。然后用manyou1登录这台adtest-pc计算机，会发现，manyou1出现在administrators组里，是具有管理员权限的。
5、如果此时组策略进行刷新，那么会发现manyou1帐号会从administrators组里消除了，从而也确保了计算机的安全性。
本文转自 是阿杰啊 51CTO博客，原文链接:http://blog.51cto.com/jschinamobile/2087038
