我真不敢相信我在这里，但我确实在这里请求帮助。:)
我以为这会很简单......
无论如何...
AD组：“蓝队”成员：“蓝爸爸”
AD组：“红队”成员：“BSD魔鬼哥们”
计算机：RDSSERVER（2019 RDS 服务器会话主机；老式 TS）
我希望“蓝队”的成员有一个名为“bluestuff.lnk”的桌面快捷方式（我从 UNC 路径复制了它；效果很好）；我希望“红队”的成员有一个名为“redstuff.lnk”的桌面快捷方式...但任何快捷方式都应该只在 RDSSERVER 桌面上。
蓝队成员驻留在名为蓝队的 OU 中；红队也是如此。我宁愿不必使用 AD 组，因为这些用户已经在 OU 中，但我似乎无法使用 OU 并使其仅适用于使用范围内的安全过滤的 RDSSERVER。
编辑：
我很确定我有以下 GP 层次结构：
- RDS 服务器 (OU)：
- “红队快捷方式”（链接/未强制）（环回处理：合并）> 安全过滤：“红队”组。
- “蓝队快捷方式”（链接/未强制）（环回处理：合并）> 安全过滤：“蓝队”组。
答案1
您需要启用环回处理策略中的合并或替换。这会更改用户登录时考虑的 OU。
因此默认情况下用户政策将从用户 OU（或父 OU）。在合并模式下，用户策略将从用户 OU 和计算机 OU 中提取。在替换模式下，用户策略将仅来自计算机 OU。
有了它，您可以在包含 RDS 服务器的 OU 中创建策略，并根据安全组进行过滤，并且应该应用正确的策略。
答案2
搞清楚了。关键是项目级定位在“常用”选项卡下。
最终使用“RDS 服务器”OU，正如之前建议/尝试过的启用环回处理（合并）一样；RDSSERVER 显然存在于“RDS 服务器”OU 中。
我在该父 OU GPO 下创建了两个 GPO：
红队快捷方式（安全过滤默认“经过身份验证的用户”），但在用户配置>首选项>文件的常用选项卡下，我选择了项目级定位，选择了“用户 OU”并以“红队”OU 作为值。
蓝队快捷方式也一样，但具有不同的项目级目标值和快捷方式。
由于某种原因，它似乎不喜欢项目级定位>“用户组”，但已经很晚了/我累了，现在真的不在乎了。