<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>BizSmooth——企顺学校博客 &#187; 组策略</title>
	<atom:link href="http://blog.bizsmooth.com/?feed=rss2&#038;tag=%E7%BB%84%E7%AD%96%E7%95%A5" rel="self" type="application/rss+xml" />
	<link>http://blog.bizsmooth.com</link>
	<description>企顺学校老师和同学们的交流园地</description>
	<lastBuildDate>Wed, 04 Feb 2026 12:22:43 +0000</lastBuildDate>
	<language>en</language>
	<sy:updatePeriod>hourly</sy:updatePeriod>
	<sy:updateFrequency>1</sy:updateFrequency>
	<generator>http://wordpress.org/?v=3.0.1</generator>
		<item>
		<title>解开拒绝本地登录的“死结”</title>
		<link>http://blog.bizsmooth.com/?p=944</link>
		<comments>http://blog.bizsmooth.com/?p=944#comments</comments>
		<pubDate>Mon, 04 Mar 2013 05:32:55 +0000</pubDate>
		<dc:creator>胡 志明</dc:creator>
				<category><![CDATA[Windows]]></category>
		<category><![CDATA[操作系统]]></category>
		<category><![CDATA[本地登录]]></category>
		<category><![CDATA[权限]]></category>
		<category><![CDATA[组策略]]></category>

		<guid isPermaLink="false">http://blog.bizsmooth.org/?p=944</guid>
		<description><![CDATA[在Windows 2003环境下，被组策略拒绝本地登录一直是件比较令人头疼的事情。本文将介绍一种所有用户都被拒绝本地登录后的解决方法。 　　在Windows2003中，如果某个用户被取消了本地登录权限，当这个用户本地登录计算机时，系统就会提示“此系统的本地策略不允许您采用交互式登录”，导致登录失败。遇到这种情况，通常请管理员在组策略中重新设置一下，将该用户从“拒绝本地登录”列表中删除或添加到“在本地登录”列表中即可。但如果因为操作失误或其它方面的原因，我们将所有用户的本地登录权限都禁止了(通常是禁止了users组（非域环境下）或domain users组（域环境下）)，那就有点麻烦了。这种情形看起来像一个解不开的“死结”：要解除禁止本地登录的组策略设置，必须以管理员身份本地登录；要以管理员身份本地登录，就必须先解除禁止本地登录的组策略设置。但实际上，事情并没有我们想象的那么糟。经过查询相关资料和测试，我发现借助网络的帮助,这个“死结”还是可以解开的。因为域安全策略与本地安全策略的数据保存机制不同，下面分两种情况分别进行说明。 被域策略拒绝本地登录时的解决办法 　　域策略的安全设置部分都保存在一个名为“GptTmpl.inf”的安全模板中，这是一个文本文件，存放在DC（域控制器）的SYSVOL（物理目录指向DC的“c:\winnt\sysvol\sysvol”）共享中。要解除对所有用户本地登录限制，在不能本地登录的情况下，最快捷的办法可能就是直接编辑这个文本文件。 　　具体操作如下： 　　1.. 在另一台计算机（Win9X/2000/XP均可）上，使用域管理员账号连接到DC的SYSVOL共享，在“\\\sysvol\\Policies\GUID&#62;\MACHINE\Microsoft\Windows NT\SecEdit”下找到该文本文件“GptTmpl.inf”。(路径中的“DC name”是你放置该组策略的域控制器的名字，“Domain name”是你的域的名字，“Policy GUID”是你要编辑的组策略的GUID，类似于“{31B2F340-016D-11D2-945F-05C04FB98439}”)。 　　2.. 使用记事本打开“GptTmpl.inf”文件，找到文件中“PrivilegeRights”小节下的“SeDenyInteractiveLogonRight”关键字，它的值就是被拒绝本地登录的用户或组的SID，将这些SID删除，使“SeDenyInteractiveLogonRight”关键字的值为空。修改完毕将文件保存回原位置。 　　3.. 使用记事本打开位于“\\\sysvol\name&#62;\Policies\”下的“GPT.INI”文件，提高“General”小节下的“Version”关键字的值，通常是加1000。这是我们修改的这个组策略的版本号，版本号提高后可以保证我们的更改被复制到其它DC上。修改完毕将文件保存回原位置。 　　4.. 域策略刷新后，问题即告解决。 　　5.. 本地登录DC重新设置域策略中的相关项目 。 被本地安全策略拒绝本地登录时的解决办法 　　解决被本地安全策略拒绝本地登录的最正统的方法，应该是使用另一台Windows2000计算机，使用组策略MMC管理单元通过网络连接到故障计算机的本地安全策略，然后进行修改。但我测试后发现，使用这种方法成功的机率非常小（具体的原因也不十分的明了），不是连接不上故障计算机，就是打不开故障计算机上本地安全策略的安全设置。因此我们还需要一个更稳妥些的解决方法。 　　本地安全策略的安全设置通常存放在一个二进制的安全数据库secedit.sdb中，这个安全数据库的结构我们无从知道，因此象第一部分那样直接编辑secedit.sdb文件的办法是无能为力了，我们需要采用迂回进攻的策略，“曲线救国”。 　　具体操作如下： 　　1.. 假设故障计算机的IP地址是&#8221;192.168.0.111&#8243;。在另一台计算机(Windows9X/2000/XP均可)上，使用“Telnet 192.168.0.111”命令使用管理员账号连 接到故障计算机。（如果故障计算机的“telnet”服务没有启动，可以通过网络启动，具体方法不在详述） 　　2.. 通过telnet在故障计算机上执行“net share tmp$=d:\tmp”命令，将故障计算机上的“d:\tmp”隐藏共享为“tmp$”，共享权限缺省是everyone完全控制（此时要特别注意网络安全）。当然你也可以共享其它的目录。 　　3.. 通过telnet在故障计算机上执行“secedit /export /CFG d:\tmp\sec.inf”命令，将故障计算机的本地安全策略配置导入“d:\tmp\sec.inf”安全模板文件中，这是一个文本文件。 　　4.. &#8230; <a href="http://blog.bizsmooth.com/?p=944">Continue reading <span class="meta-nav">&#8594;</span></a>]]></description>
		<wfw:commentRss>http://blog.bizsmooth.com/?feed=rss2&amp;p=944</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
	</channel>
</rss>
