查看“AD域控管理组成员定义”的源代码

[[category:IS]]

* Domain admins 在域中相当于管理员
# 当计算机加入到域后，默认将"Domain Admins"组赋予了本地系统管理员的权限。也就是说，在计算机添加到域，成为域的成员主机的过程中，系统将会自动把"Domain Admins"域组添加到本地的Administrators组中。
# 只要是Domain Admins组的成员均可访问本地计算机，而且具备"完全控制"的权限。
# 为了加强计算机的安全，对于敏感的计算机，建议将Domain Admins组从Administrators组中删除。
* Enterprise admins是根域中存在的两个全局安全组之一，该组成员能够修改Active Directory的计划，该计划将影响到Forest中所有的域。
# Enterprise Admins：企业管理组，可以对活动目录中整个林作修改，例如添加子域（Domain admins组中的成员也可以添加子域）。
# Schema Admins：架构管理组：可以对活动目录整个林做架构修改，也就是用户或组的一些属性选项卡之类的架构

* Domain users权限：
# 为了更好的对客户端权限进行管理和控制，只赋予终端用户Domain User组的权限。
# 但有些需要Local Administrator权限的软件就无法安装和运行。为满足特殊情况使用需求，建议办法参照 [[AD域控管理及实际应用中的问题集锦]] 中关于 <Domain users软件安装和使用权限的开启设置>