组安全策略中的用户/组名称验证

Question

为什么 GPO 编辑器不检查“添加用户或组”对话框中给定的用户名/组名的有效性。当您在实际策略对话框中应用时，它不会检查是否给出了有效的名称（例如“拒绝从网络访问此计算机”）。

我重新启动了计算机（DC），gpupdate /force也发出了问题 - 但错误的用户名仍然存在。

n

Answer 1

GPO 编辑器不验证用户名，因为在某些情况下它无法验证完全有效的帐户名。

请注意，任何此类验证都会发生在您正在编辑策略的机器上然后考虑以下场景：

1. 您配置Computer/Preferences/Control Panel Settings/Local Users and Groups/Local Group策略以将成员添加到Administrators (built-in)组。
2. 您指定的用户名是机器本地用户帐户运行组策略编辑器的工作站上不存在该文件夹，但是做存在于该策略所针对的机器上。

在这种情况下，即使您指定了有效的帐户名，用户名有效性检查也会失败。因此，GP 编辑器无法验证帐户名。