核心是用好组策略中的“受限制的组”功能，它强制定义本地组的完整成员列表，刷新后自动删除多余成员、补全缺失成员，实现强一致性；分三类场景：精确控制内置组成员、仅叠加域组、避免同时配置“成员”和“隶属于”等常见错误。
要规范域内所有终端的本地组成员，核心是用好组策略中的“受限制的组”（restricted groups）功能。它不是简单地“加人”，而是强制定义某本地组的完整成员列表——刷新策略后，系统会自动删除多余成员、补全缺失成员，实现强一致性。
以下分三类典型场景说明配置要点和关键注意事项：
只控制本地内置组的精确成员（如Administrators）
适用于要求“只能有指定用户/组”的高安全场景。
- 在GPO中定位到：计算机配置 → 策略 → Windows设置 → 安全设置 → 受限制的组
- 右键“添加组”，输入目标本地组名（如 Administrators），注意不能用浏览，必须手动输入，否则会误选域组
- 打开该组属性，在“这个组的成员”中添加你允许的域用户或域组（如 CONTOSO\HelpDesk、CONTOSO\zhangsan）
- 不要填写“这个组隶属于”，否则可能触发冲突逻辑
- 链接GPO到包含终端计算机的OU，并确保GPO作用于计算机账户（非用户）
仅将域组加入本地组（不干涉现有成员）
适用于“最小权限叠加”场景，比如让HelpDesk组获得远程桌面权限，但不清理其他已有成员。
- 同样添加组（如 Remote Desktop Users）
- 仅在“这个组的成员”中填入域组（如 CONTOSO\RemoteSupport）
- 保持“这个组隶属于”为空
- 此方式下，组策略只做“添加”，不删除本地已有的其他成员（但注意：若后续策略改用第一种模式，就会清空）
避免常见错误配置
- ❌ 不要同时配置“这个组的成员”和“这个组隶属于”——实测会导致成员无法生效（如域用户加入helpdesk组后仍无本地管理员权限）
- ❌ 不要用“受限制的组”处理Builtin组之间的隶属关系（如把Guests加进Administrators），系统不支持
- ❌ 刷新后若未生效，先确认：终端是否在目标OU、GPO是否启用、是否运行 gpupdate /force、是否重启或等待默认90分钟刷新周期
实际部署时建议：优先用域安全组（如 CONTOSO\Workstation-Admins）作为中间层，再把人员加入该组。这样既便于权限审计，也避免频繁修改GPO。
