我想禁用域中计算机的本地管理员权限，这可能吗？，只将管理权限授予域管理员。我想使用组策略来实现这一点。
我主要想禁用用户安装/卸载程序的权限，尽管他们是其机器的本地管理员。
答案1
将用户从“本地管理员”组中移除。
手动操作步骤如下：进入计算机，开始 > rc 我的电脑，然后选择“管理计算机”。选择“本地用户和组”、“组”，然后双击管理员。从该组中删除用户。
最好不要将域管理员从该组中移除，如果您禁用本地管理员组执行任何操作，则可能会遇到其他问题。
您可能会发现很多东西对用户来说都停止工作，所以如果他们做了一些奇怪而奇妙的事情，高级用户可能是他们最好的去处。
如果您想通过组策略来执行此操作，我认为您会考虑编写一些脚本，然后将其作为启动脚本运行。
然后你的脚本将使用“net localgroup Administrators naughtyusers /delete”
答案2
正如 @Tubs 所说，不要试图削弱本地管理员组。只是不要将最终用户放入该组中。高级用户将授予他们执行管理员可以执行的几乎所有操作的权限，但不能更改系统范围的配置。尽管他们确实拥有修改注册表的权限，但只要有时间和注册表文件，我认为他们无法更改任何设置。
组策略可以直接控制本地组的成员身份。我目前没有可用的管理工具，但它类似于“受限组”。您在此处指定的内容将成为组的完整成员身份，您不能指示组策略更改本地组的成员身份，只能用您指定的列表完全替换成员身份，因此请记住将域管理员包含在管理员组中。
答案3
我没有足够的声誉来评论@pipTheGeek，但 GP 中的路径是计算机配置\Windows 设置\安全设置\受限组。
答案4
简单的 CMD 命令：NET LOCALGROUP 管理员 [用户名] /delete