AD域权限控制 - 如何限制普通域用户对AD域的访问范围?

[lwynew]

测试AD域, 2个OU: CN/HK
分别在ou下增加了几个测试用户(cn1/cn2/hk1/hk2), 测试用户只属于Domain Users组

用cn1登录域控服务器, 运行dsa.msc, 发现作为普通域用户它可以访问 AD用户与计算机 的所有内容, 包括浏览全部域用户

现在希望控制普通域用户对 AD域 的访问范围, 比如说控制所有domain users不能浏览域用户, 或者只能浏览CN/HK这两个OU下的域用户

我在域策略里没找到相关的控制, 请问该如何做呢?

非常感谢!

[seasunny]

应该是在组策略－计算机配置－ 安全设置－本地策略－用户权利指派选项里面设置，你仔细看看。

[lwynew]

回ls
用户权限分配里的可选项如下:


没有找到可以控制domain users访问范围的控制

想确认是否可以控制, 还是说域用户默认情况下对 AD用户与计算机 都有读的权限?

[SAP乞丐]

默认情况下域用户对 AD用户与计算机 都有读的权限，如果实在真的要实现你要的功能估计要开发了，即使开发出来意义也不打