如何通过组策略将指定用户加入本地计算机管理员组

（1）在AD中新建Helpdesk用户组，添加相关的Helpdesk用户，新建ServerComputer组，将所有的服务器添加到该组中。
（2）在DC上打开“AD用户和计算机”，打开域的属性窗口，在组策略选项卡中单击“打开”按钮打开组策略管理，

新建一个组策略Helpdesk，并将该组策略链接到域上，对所有域用户生效，如图：

（3）右击“Helpdesk”，在弹出式菜单中选择“编辑”，那么就可以弹出我们熟悉的组策略编辑器了。
（4）依次展开“计算机设置”、“Windows设置”、“安全设置”、“受限制的组”，然后新建组“Helpdesk”，这个组隶属于“Administrators”组，如图：

这样设置后所有域中的计算机在应用策略后都会将Helpdesk组添加到本地的
Administrators组中。
（5）右击左侧控制栏的“Helpdesk[xxx.com]策略”，在弹出式菜单中选择“属性”选项，并切换到安全选项卡，添加服务器计算机组ServerComputer，然后在下面的权限中设置其拒绝应用组策略。

（6）“确定”，完成组策略的设置。这个时候在员工计算机上运行gpupdate /force可以强制马上刷新组策略，看到Helpdesk已经添加到Administrators组中。