2023年11月27日发(作者：)

ad域时间源配置_WindowsAD域通过GPO设置客户端电脑本

地管理员账号密码

0x01 介绍

在实际⽣产环境中，由于Windows AD域的限制，桌⾯对客户端电脑进⾏软件安装或其他系统配置时，均需要管理员权限，⽽⽹内客户端众

多，不同客户端电脑密码可能都是不同的，也经常忘记本地管理员密码，所以这时候就需要批量变更客户端的本地管理员密码。

0x02 环境介绍

DC：Windows Server 2012R2 域名： CLIENT:Windows 7 已经将客户端加⼊域

0x03 操作步骤

1. ⾸先在DC上⽤于与计算机控制台，新建⼀个计算机OU，便于管理，将刚加⼊域的计算机移动到这个OU中。

2. 在DC上打开组策略管理

4. 然后再回到Windows设置 --- 脚本(启动/关机)，新建⼀条启动脚本。

//启动脚本内容：新建administrator⽤户，密码设置为passwd1!,启⽤此账户net user administrator passwd1! /active:yes

将脚本内容复制到txt，另存为cmd后缀或者bat后缀⽂档，然后点开启动属性，点开显⽰⽂件，出来路径，将脚本⽂件粘贴到路径中，再点

开编辑浏览到刚才路径，选中写好的开机脚本⽂件。

另外，有时候还有特殊需求，⽐如域中客户端⽤户由于⼀些特殊原因

需要本地管理员权限，有这个需求的时候⼜不可能每次到跑到客户端操作电脑，因此可以使⽤受限制的群组，设定，当域中某些特定⽤户需

admins并将张三加⼊到此⽤户组测试。

6. 再回到组策略管理⼯具中，此处依旧挂载在这条GPO策略上，找到计

算机配置 --- Windows设置 --- 安全设置 --- 受限制的组 新建Administrators 组，并将默认需要添加到客户端本地管理员的⽤户与⽤户组

添加进来。

7. 确定后关闭这条GPO编辑页，回到组策略管理⼯具，找

到之前新建的yeah-Computers计算机组的OU，右键链接到现有GPO找到刚新建的GPO，链接确定。

8. 此时，到DC服务器中强制刷新组策略。

//强制刷新组策略命令gpupdate /force

9. 找⼀台客户端验证策略是否⽣效，以本

地管理员⽤户Local_admin登录，查看策略是否⽣效，因为应⽤的是计算机策略，只能在本地管理员账号下看到策略是否应⽤。

//查看当前⽤户计算⽣效gpogpresult /r //如发现策略没应⽤，可多执⾏⼏次强制刷新策略命令或直接注销重启重新登录gpupdate /force

10. 可以看到策略已经应

⽤，我们再切换⽤户，以张三登录客户端，右键点击计算机，计算机管理--本地⽤户和组--组--administrators，可以发现当前已经有我们

到此已经完成需求的所有操作，即通过GPO统⼀设置域内计算机本地管理员账户重命名为Local_admin,并在AD上新建⼀个Local-Admins