必须通过组策略禁用“domain users”隐式访问权限并显式授予目标用户或组登录权，否则任何已加入域的用户都可能凭域账户尝试登录；需确认系统为专业版/企业版、已成功加入域，清空“从网络访问此计算机”和“允许本地登录”中的domain users，再添加指定域用户或域本地组，并执行gpupdate /force生效。
要让一台Windows 10专业版或企业版电脑只允许特定活动目录域用户登录，必须通过组策略禁用默认的“Domain Users”隐式访问权限，并显式授予目标用户或组登录权，否则任何已加入域的用户都可能凭域账户尝试登录。
确认系统版本与域连接状态
右键“此电脑”→“属性”，查看系统版本是否为专业版、企业版或教育版；家庭版不支持本地组策略编辑。打开命令提示符，运行 echo %USERDOMAIN% 和 gpresult /r，确认已成功加入目标域且能解析域控制器地址。
若显示本地计算机名而非域名，说明未完成域加入——此时所有后续策略均无效。
移除默认域用户的登录权限
按 Win+R 输入 gpedit.msc 打开本地组策略编辑器→依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权利指派。
双击“从网络访问此计算机”→点击“删除”按钮，清空列表中所有条目→点击“添加用户或组”→输入 Domain Users →检查框内是否已存在该组；若存在，必须手动选中并点击“删除”。【不清理此项，Domain Users成员仍可远程登录】
同样操作处理“允许本地登录”策略项，确保 Domain Users 不在其中。
显式授予指定用户/组登录权限
仍在“用户权利指派”下，双击“允许本地登录”→点击“添加用户或组”→输入你要授权的具体域用户（如 CONTOSO\zhangsan）或更推荐的域本地组（如 CONTOSO\Workstation-Allowed）→确认添加。
方法一：直接添加单个域用户（适合临时授权，管理成本高）
方法二：创建专用域本地组（推荐）→将目标用户加入该组→在此处仅添加该组名称。这样后续增减人员只需改组成员，无需反复进策略界面。
注意：所添加的组必须是域本地组（Domain Local Group），不能是全局组（Global Group）——因为“允许本地登录”策略仅识别本机所在域的域本地组或用户对象。
强制更新并验证策略生效
以管理员身份运行命令提示符→执行：gpupdate /force→等待提示“用户策略处理成功”和“计算机策略处理成功”。
重启电脑，尝试使用未被授权的域账户登录——应直接显示“您的帐户当前不可用于登录此计算机”。
再用已授权账户登录，进入桌面后运行 whoami /groups，检查输出中是否包含你添加的组SID或用户名。
