我想停用網域中電腦中本機管理員的權限，這可能嗎？我想透過群組原則來做到這一點。
主要是我想禁用用戶安裝/卸載程式的權限，儘管他們是其電腦的本機管理員。
答案1
將使用者從「本機管理員」群組中刪除。
手動過程是前往計算機，開始 > rc 我的計算機，然後「管理計算機」。選擇“本機使用者和群組”、“群組”，然後雙擊管理員。從該群組中刪除用戶。
不過，最好不要將網域管理員移出該群組，如果您停用本機管理員群組執行任何操作，則可能會遇到其他問題。
您可能會發現很多事情對用戶來說將不再起作用，因此如果他們做了任何奇怪而美妙的事情，高級用戶可能是他們去的最佳地方。
如果您想透過群組原則來執行此操作，我認為您會考慮編寫一些腳本，然後將其作為啟動腳本運行。
然後，您的腳本將使用“net localgroupadministrators naughtyusers /delete”
答案2
正如@Tubs 所說，不要試圖削弱本機管理員群組。只是不要將您的最終用戶放在該群組中。高級用戶將授予他們執行管理員可以執行的幾乎所有操作的權限，但不能更改系統範圍的配置。儘管他們確實擁有對註冊表的修改權限，因此在給定時間和註冊表文件的情況下，我看不出有任何他們無法更改的設定。
群組原則可以直接控製本機群組的成員資格。我目前沒有可用的管理工具，但它類似於「受限群組」。您在此處指定的內容將成為該群組的完整成員身份，您無法指示群組原則對本機群組的成員身份進行更改，只能將成員身份完全替換為您指定的列表，因此請記住將網域管理員包含在管理員群組中。
答案3
我沒有足夠的代表來評論 @pipTheGeek，但 GP 中的路徑是電腦配置\Windows 設定\安全設定\受限群組。
答案4
簡單的 CMD 指令：NET LOCALGROUP 管理員 [使用者名稱] /delete