禁止指定组将机器加入AD域.note

# 限制Sales Management Office 对 Computers 对象的读写权限，这样它就无法将计算机加入域了
dsacls "CN=Computers,dc=SKILL2025,dc=ORG" /DENY "SKILL2025\Sales Management Office":GA

# 查看：
dsacls.exe "CN=Computers,dc=SKILL2025,dc=ORG" | findstr "Deny"