تنظیمات امنیتی لوکال در گروپ پالیسی ویندوز به شما این امکان را می دهد که از لاگین کاربران به صورت interactive به لوکال به کامپیوتر جلوگیری به عمل آورید و یا اجازه لاگین به کاربران را دهید. اما چگونه می توانیم به برخی گروه ها یا کاربران در ویندوز اجازه لاگین لوکال دهیم یا این اختیار را از آنها سلب کنیم؟ در این مطلب کوتاه به بررسی این موضوع می پردازیم.


به طور پیشفرض فقط کاربرانی که عضو گروه های امنیتی زیر هستند می توانند بصورت interactive به ویندوز لاگین کنند:

Administrators;

Backup Operators;

Users

اگر ویندوز سرورتان را به Active Directory domain controller ارتقا یا Promote کنید، لیست تغییر می کنید و گروه های زیر هستند که می توانند به دامین کنترلرها بصورت interactive لاگین کنند.

Account Operators;

Administrators;

Backup Operators;

Print Operators;

Server Operators;

ENTERPRISE DOMAIN CONTROLLER

پس دیگر گروه Users امکان لاگین بصورت لوکالی به AD domain controller را ندارند و فقط گروه های مذکور می توانند به دلیل حساسیت بالای دامین کنترلرها در شبکه، بدان لاگین داشته باشند.
در مسیر زیر، در local Group Policy می توانید پالیسی مورد نظر را بیابید و گروه های داخل آن را مشاهده کنید.

Computer Configuration > Windows Settings > Security Settings > Local Policies > User Rights Assignment

سپس در این مسیر، پالیسی Allow log on locally را مشاهده خواهید کرد. روی پالیسی دابل کلیک کنید تا فرم تنظیمات این پالیسی باز شود.


با استفاده از پالیسی مذکور می توانید گروه ها یا User هایی را به منظور مجاز به لاگین لوکال به این سیستم اضافه کنید. اگر گروهی را از اینجا حذف کنید دیگر کاربران این گروه نمی تواند به این سیستم لاگین لوکال انجام دهند.
پالیسی دیگر در همین مسیر با نام Deny log on locally وجود دارد که اگر گروه یا کاربری در این پالیسی اضافه شود دیگر نمی تواند به این سیستم ها لاگین کند. اگر کاربر یا گروهی به این پالیسی اضافه شود حتی اگر همین گروه یا کاربر در پالیسی Allow log on locally هم وجود داشته باشد باز هم نمی تواند به ویندوز لاگین کند چون Deny همیشه به Allow اولویت دارد.


اگر کاربری مجاز به لاگین لوکال به سیستمی نباشد پیغام زیر را هنگام لاگین دریافت می کند:

The sign in method you’re trying to use isn’t allowed. For more info, contact your network administrator.