การใช้ GPO กับผู้ใช้หนึ่งรายบนคอมพิวเตอร์เครื่องเดียวเท่านั้น

ฉันมี GPO ที่ฉันต้องการนำไปใช้กับผู้ใช้DOMAIN\DumbGuyแต่เฉพาะเมื่อเขาเข้าสู่DOMAIN\DumbGuysComputer$ระบบ เมื่อDOMAIN\NiceReceptionistเข้าสู่ระบบDOMAIN\DumbGuysComputer$มันไม่ควรใช้ เมื่อDOMAIN\DumbGuyเข้าสู่ระบบDOMAIN\ReceptionstsComputer$มันไม่ควรใช้

มันต้องใช้เฉพาะเพียงเพื่อคนคนหนึ่งบนคอมพิวเตอร์เครื่องหนึ่ง

ถ้าฉันใช้วัตถุนโยบายกลุ่มกับวัตถุผู้ใช้วัตถุนั้นจะมีผลกับคอมพิวเตอร์ทุกเครื่องของเขา ถ้าฉันใช้ GPO กับวัตถุคอมพิวเตอร์วัตถุนั้นจะนำไปใช้กับผู้ใช้ทุกคนในคอมพิวเตอร์เครื่องนั้น หากฉันนำไปใช้กับทั้งสองอย่างมันก็จะยิ่งกว้างขึ้น

ฉันจะใช้ GPO กับผู้ใช้เพียงคนเดียวในคอมพิวเตอร์เครื่องเดียวได้อย่างไร

คำแนะนำของฉันคล้ายกับที่อาศัยอยู่ใน ..

สร้าง sub-OU สำหรับคอมพิวเตอร์เครื่องเดียวสร้าง GPO ในนั้นและตั้งเป็นโหมดวนย้อนกลับ ใช้การกรองความปลอดภัยบน GPO เพื่อให้DumbGuyมีสิทธิ์ใช้งานเท่านั้น ฉันไม่เห็นเหตุผลที่จะใช้ GPO สองแบบที่แตกต่างกัน

สำคัญมาก! อย่ากรองสิทธิ์ "อ่าน" จากผู้ใช้ที่ได้รับการรับรองความถูกต้องเนื่องจากระบบย่อยของนโยบายกลุ่มจำเป็นต้องอ่าน GPO ก่อนที่จะนำไปใช้กับผู้ใช้

ฉันจะดูการประมวลผลลูปนโยบายกลุ่มร่วมกับการกรองความปลอดภัย คุณสามารถใช้คุณลักษณะวนรอบนโยบายกลุ่มเพื่อใช้วัตถุนโยบายกลุ่ม (GPO) ที่ขึ้นอยู่กับคอมพิวเตอร์ที่ผู้ใช้เข้าสู่ระบบเท่านั้น

นี่คือตัวอย่างของวิธีที่จะสามารถดำเนินการ

จริงๆแล้วฉันจะใช้สิ่งนี้อย่างไร:

สร้าง GPO ที่แตกต่างกันสองรายการและกำหนดให้กับ DOMAIN \ DumbGuysComputer $

กำหนดค่า GPO แรกด้วยการประมวลผลลูปแบ็คตั้งค่าในโหมดแทนที่และกำหนดค่าการกรองความปลอดภัยเพื่อใช้กับผู้ใช้DOMAIN \ DumbGuyเท่านั้น

กำหนดค่าวัตถุนโยบายกลุ่มที่สองโดยไม่ต้องดำเนินการวนรอบและกำหนดค่าการกรองความปลอดภัยเพื่อใช้กับผู้ใช้DOMAIN \ NiceReceptistเท่านั้น

ฉันอาจจะเพียงแค่เชื่อมโยง GPO กับ OU ที่ผู้ใช้อยู่และใช้การกรองความปลอดภัยหรือ WMI เพื่อให้แน่ใจว่าจะใช้กับผู้ใช้รายนั้นเท่านั้นจากนั้นรวมสคริปต์ทั้งหมดในif($ENV:computername -eq whatever){}บล็อก

วัตถุนโยบายกลุ่มวัตถุคอมพิวเตอร์หรือวัตถุทั้งสองใน OU และคุณไม่สามารถทำให้วัตถุนโยบายกลุ่มนำไปใช้กับวัตถุคอมพิวเตอร์เฉพาะเมื่อผู้ใช้บางอย่างเข้าสู่ระบบคอมพิวเตอร์นั้นหรือนำไปใช้กับวัตถุผู้ใช้เฉพาะเมื่อผู้ใช้นั้น บันทึกลงในคอมพิวเตอร์บางเครื่อง

ฉันสร้างตัวกรอง WMI ที่ดูเหมือนว่าจะทำงาน:

Select * from WIN32_OperatingSystem where NOT CSName="PCName"

คุณสามารถทดสอบแบบสอบถาม WMI ใน PowerShell โดยใช้:

gwmi -Query 'Select * from WIN32_OperatingSystem...'