如何要求用户只能用AD域用户身份登录，而IT管理员可以用local administrators身份登录呢？
我们可以通过设置AD组策略来禁止本机用户登录。
在Domain Controller的GPO中，
选择
Policy\Computer Configuration\Windows Setting\Security Settings\Local Policies\User Rights Assignment\ Log On Locally
添加两个组，Administrator和Domain Users，运行gpupdat，那下次用户就只能以域用户身份登录了。
假如Domain Controller 是 Windows Server 2003，组策略位置有点不同，位置为
Computer Configuration\Windows Setting\Security Settings\Local Policies\User Rights Assignment\Log On Locally.