尊敬的客户，您好，

感谢您的回复。

默认情况下，任何经过身份验证的用户都具有此权限，并且可以在域中最多创建10个计算机帐户。现需要限制特定的用户或者用户组加域的权限，我们可以尝试以下方法：

方法一：

我们可以配置”将工作站添加到域”安全策略，并添加了特定的用户和组，那么这些用户和组将具有此权限。相反将限制其他的用户或者组。

”将工作站添加到域”安全策略位于：

Computer Configuration > Windows Settings > Security Settings > Local Policies > User Rights Assignment.

打开Default Domain Controllers policy，导航到上述位置，可以看到默认情况下，是有Authenticated users，删除Authenticated Users，然后添加上我们将赋予此权限的用户或者组。例如：

然后运行“gpupdate /force”刷新组策略，在我的测试中，是需要重启域控。

最后，我们可以尝试加域。添加上的用户或者组将具有加域的权限，而未添加的用户或者组，将不能执行加域操作。

方法二：

打开ADUC，右击域名，如book.com，选择“属性”。“安全”对话框中点击“Advanced”。

点击“Add”，添加上我们需要设定的用户或者用户组。

Type：Deny

Applied to：This object and all descendant objects

Permissions：勾选Create all child objects。这其中包括Create Computers objects。

之后我们尝试加域的时候，输入此用户的凭据的话，加域不会成功。我的测试中，出现如下报错：

如有问题，请随时联系我们。

此致，

Hannah Xiong

Please remember to mark the replies as answers if they help.

If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.