是否可以限制 AD 域中的哪些人可以将计算机加入域？

Question

我们正在尝试阻止用户随意将虚拟机和外部机器加入到我们的域中。默认情况下，任何用户最多可以加入 10 台机器。有没有办法将其限制为仅限帐户操作员、域管理员和企业管理员？

Answer 1

进入您的域安全策略>本地策略>用户权限分配，然后将“将工作站添加到域”更改为您想要的组。

Answer 2

我相信您正在寻找的内容在这两篇 MSKB 文章中有所提及：

• 用户可以加入域的工作站数量的默认限制
• 域用户无法将工作站或服务器加入域（查看位置）

第一篇文章详细介绍了在 Adsiedit.msc 中去哪里更改默认值（域 NC，选择正确的项目，属性，查看 ms-DS-MachineAccountQuota，编辑属性以更改值）。

我还看到提到在默认域控制器策略\用户权限分配下有一个组策略，但我不适合去深入挖掘以进行验证。

Answer 3

你看过这：

有一个组策略可以更改谁有权将机器添加到域。我目前不在服务器前面，但如果我记得正确的话，这可以轻松更改。

KCotreau 的回答详细地展示了我提到的组策略变化。