将组策略应用于远程桌面服务用户，但不应用于他们登录本地系统时

Question

运行具有远程桌面服务角色的 Windows Server 2008 Service Pack 2。我想使用 GPO 隐藏服务器驱动器，但在用户登录到本地系统时不隐藏用户本地驱动器。

使用 GPO，我转到“用户配置 - 策略 - 管理模板 - Windows 组件 - Windows 资源管理器”，启用“隐藏我的电脑中指定的驱动器”和“阻止从我的电脑访问驱动器”，并在两者中使用“限制所有驱动器”。然后在 GPO 的“安全过滤”下，我将其限制为运行远程桌面服务的系统和将使用 RDS 的特定用户。

然后我将 GPO 应用于我们的域，结果效果非常好。我不仅成功让 GPO 为 RDS 用户工作，而且还影响了这些用户的本地系统。

我已经尝试了所有能想到的方法，但就是搞不清楚如何将其仅应用于 RDS，而不应用于本地系统。我遗漏了什么？

Answer 1

您需要使用环回策略处理。将 RDS 服务器移动到新 OU。将您的“驱动器限制” GPO 链接到此 OU。将此 GPO 中的环回策略处理配置为替换或合并模式（取决于您是否要用这些 GPO 设置替换用户的正常 GPO 设置或将用户的正常 GPO 设置与这些设置合并）。我猜您会想要合并模式。

现在，当用户登录到 RDS 服务器时，链接到此 OU 的 GPO 中的用户配置设置将作为用户正常 GPO 设置的补充或替代应用。这样，驱动器限制仅在登录到 RDS 服务器时有效，而不在其工作站上有效。