使用不同的AD帐户提升权限

Question

我希望在我们的一些用户计算机上创建一个具有本地管理员组成员资格的AD帐户(因为他们是开发人员，需要完全的管理权限)，但是这个帐户不应该被登录，只是用来提升权限。

我尝试过组策略“拒绝本地登录”、“用户必须要求智能卡登录”、“设置为拒绝的登录时间”，但所有这些都禁止帐户提升权限。

是否有一种简单的方法来创建活动目录帐户，该帐户是该计算机上本地管理员组的成员，但不能登录，只用于提升权限？

Answer 1

有办法做到这一点。当前通过登录脚本GPO应用的批处理文件完成。