User Anmeldung an PCs verbieten - über AD Objekt oder GPO?

[phatair 40]

Hallo zusammen,

 

wir haben einige Schulungs AD Accounts, die nur an den entsprechenden Schulungs-Notebooks genutzt werden sollen.

Die Geräte und User liegen in einer eigenen OU.

Ich hätte jetzt die User in eine Gruppe gepackt, eine GPO erstellt und in dieser der Gruppe per "Zuweisen von Benutzerrechten" das lokale anmelden verboten. Die GPO würde dann für unsere OU mit den "normalen" PCs gelten.

 

Oder sollte man lieber den Schulungs AD Usern im Tab "Konto" unter "Anmelden an..." die entsprechenden DNS Namen der PCs eintragen? 

 

Die GPO finde ich eigentlich übersichtlicher und einfacher zu managen, da ich nur eine Gruppe pflegen muss. 

Oder gibts noch eine ganz andere Lösung?

Danke und Gruß,

Steffen

[NorbertFe 2.283]

Ich würde erstere Variante nutzen.

[daabm 1.429]

Auf jeden Fall die erste. Die zweite hat viele viele Nachteile...

- braucht NTLM/NetBios

- ist auf 20 Rechner beschränkt

- kennt keine Gruppen

- Funktioniert "unerwartet" mit NLA und RDS/Citrix

- ...