【问题标题】：set "the following user or group can join to a domain" after creating the computer创建计算机后设置“以下用户或组可以加入域”
【发布时间】：2014-04-10 10:05:31
【问题描述】：
我遇到了一个问题，即用户可以在 AD 中创建计算机，但除了在 AD 中创建计算机的用户之外，没有其他人可以将计算机加入域。
在管理工具中创建计算机时，如果将其设置为某个组，则标题为“以下用户或组可以加入域”的选项，然后该组可以加入域。
当我在管理工具中查看计算机的属性时，我无法在任何地方找到此设置。
在哪里可以找到此设置？可以使用脚本更改此设置吗？
【问题讨论】：
标签：
powershell
active-directory
powershell-2.0
【解决方案1】：
这并不是真正的设置，而是权限。该向导的作用是为您指定的用户/组分配将计算机加入该计算机对象所需的权限。
通常人们所做的是将用户添加到具有加入计算机所需权限的 AD 组；在启用了继承的计算机的父容器上分配权限。
如果您需要让只有那个人能够加入那台计算机，您需要编写脚本。例如：
- 创建一个计算机对象并在向导中选择一个特定用户。
- 使用 ADSI 或 Powershell 等导出为该计算机对象上的指定用户创建的 ACL
- 创建一个脚本，为指定计算机上的指定用户分配相同的权限。