在AD上创建本地管理员安全组
打开组策略管理
1.在此域中创建GPO。 2.名称：corp本地管理员访问权限。 3.编辑 - 打开组策略管理编辑器。 4.计算机配置 - 策略 - Windows设置 - 安全设置 - 受限制的组 - 添加组，浏览 - 添加 - “corp local administrator”然后成员组 - 管理员。
5. GPO强制执行。 6. OU链接到GPO并启用
7.应用于客户端计算机 - 在命令提示符下。
如何禁用标准用户在域用户的客户端计算机上安装程序？
1.打开组策略管理控制台（GPMC）。 2.右键单击您的域，然后选择在此域中创建GPO，并将其链接到此处选项。 3.将组策略对象（GPO）命名为阻止Google Chrome，然后单击“确定”。 4.右键单击刚刚创建的策略，然后单击“编辑”。 5.导航到“用户配置\策略\ Windows设置\安全设置\软件限制策略”文件夹。 6.右键单击“软件限制策略”，然后选择“新建软件限制策略”。 7.右键单击“其他规则”，然后选择“新路径规则”。 8.在“路径”字段中，键入chromesetup.exe。 9.在“安全级别”下拉框中，选择“不允许”，然后单击“确定”。对chrome.exe和gears-chrome-opt.msi文件重复步骤7到9。 对于Vista计算机的路径C：\ Users \％username％\ AppData \ Local \ Google \ Chrome \ Application \ chrome.exe或C：\ Documents and Settings \％username％\ Local Settings \ Application Data，重复步骤7到9适用于XP机器的\ Google \ Chrome \ Application \ chrome.exe。如果您的某些用户已安装浏览器，则应包含此规则。在这些用户的本地计算机上实施GPO和组策略设置刷新后，他们将无法再成功运行Google Chrome。 打开命令提示符窗口并运行命令以应用新规则。
gpupdate /force
运行命令
gpresult /R
验证是否已成功应用新创建的GPO。作为最终测试，尝试从Google Chrome网站运行安装程序。
如果用户没有本地管理员访问权限，您可以通过组策略禁用每个用户的安装。
DisableUserInstalls是一种机器策略，它将阻止每个用户的安装。还可以选择“隐藏”现有的每用户安装的应用程序，以支持每台计算机安装的版本。
要配置：
1.打开gpmc.msc，选择要添加策略的GPO。 2.导航计算机配置，策略，管理模板，Windows组件，Windows Installer。 3.将策略“禁止用户安装”设置为“已启用”。 [可选]将策略“用户安装行为”设置为“隐藏用户安装”。
组策略 - 更改域用户壁纸
- 首先在服务器名称上创建文件夹：“commonwallapaper”
- 与每个人共享文件夹给予只读访问权限。
- 共享选项 - 启用 - 共享文件夹中没有文件或prgoram可脱机使用。
- 将壁纸放在同一文件夹上。
组策略 1.在域名中创建一个GPO：commonwallpaper_GPO。 2.right click commonwallaper_GPO - 编辑 - 用户配置 - 策略 - 管理模板 - 桌面 - 桌面 - 桌面壁纸 - 启用 - wallper名称：\\ 192.168.1.250 \ commonwallpaper $ \ corpwallpaper.jpg
3.将GPO应用于安全组..
4.转到客户端系统open cmd-gpudate / force
5.自动更新所有客户端机器壁纸。
简体中文 
English