A. 如何禁用域控伺服器下發的腳本
1、bat可以作為登陸腳本執行，確切說一切可以在windows平台執行的東西都可以作為登陸腳本來用。
2、應該指定以\\server\……這樣格式開頭的路徑。因為client在登陸的時候執行腳本，其實是從伺服器上下載到本地，然後執行。這樣的話，如果指定c:\這樣的路徑，client只會在本地的c盤查找，而不是到server上的路徑去查找。
3、腳本可以放在一切client能夠讀取的位置。通常這個位置處於\\server\netlogon的share下(在伺服器上的位置是%systemroot%\sysvol\sysvol\domainname\scripts)，但是如果你制訂了策略，那麼腳本默認的存放路徑應該在%systemroot%\sysvol\sysvol\domainname\policies\guid\user(machine)\scripts下，如果你放在別的位置，需要在腳本執行欄的位置輸入絕對路徑，格式同樣需要以\\server\……開頭。
4、其他的問題也很多了，一般來說就是腳本適用於策略的時候，客戶端可能會執行不到。
一般來說可能會有一下的幾個原因：
a、腳本從名稱到內容都盡可能的不要用特殊字元、長文件名(超過8個字元)、空格，比如&等。這樣的腳本在不同的os上可能執行會有問題。
b、腳本存放的位置和路徑，請遵照上面的原則來做。
c、腳本的編寫方面。特別是適用net use 來map一個fileserver上的路徑。有可能在登陸之前，client上已經有網路盤的映射，如果恰好和你map的盤符一樣，將有可能導致腳本執行失敗，你可以在腳本的最前面加一句net use * /d /y來解決這個問題。
不過這個命令要慎用，在實際生產環境中，如果你的fileserver是非wintel平台的storage，響應時間較長，那麼可能導致用戶重新登陸時，無法連接fileserver上的sharefolder，可以用一句if exist來判斷網路盤是否存在。
另外一個方面，如果遠程設備是一些跨平台的存儲設備，比如一些nas、san等，map到windows平台的時候可能會提示「網路路徑無法連接」等問題，可以相互更換map \\server_netbios_name或者map \\server_ipaddress兩種方式來嘗試連接。
如果遇到許可權問題，那麼按照共享許可權和安全許可權沖突時取最小值的原則，一般來講可以將共享許可權設置為full control，然後安全許可權做嚴格設定的辦法來解決。
d、「配置文件路經」和「登陸腳本路徑」、「主文件夾」
朋友們在初次設置域賬戶腳本的時候，可能對於這三個概念有些模糊，難以區分，這里說明一下：
①使用組策略，在用戶登錄腳本的的地方編輯一個cmd等，使用諸如net use的方式就可以map一個網路盤符了。
②「配製文件路徑」是指用戶profile所處的位置，通常在%userprofile%
「登錄腳本路徑」是指用戶登錄到伺服器時，執行的腳本所處的位置，通常默認路徑位於
伺服器上的netlogon下，如果制定策略中使用腳本，默認的路徑應該在gpo 的guid下的user或者computer下的scripts，如果置於其他位置，需要手動指定完全路徑。
③「主文件夾」是指用戶在fileserver上的個人主目錄，這個概念沒有絕對的位置。需要你手動指定路徑，不過在這里寫入和在腳本中寫入的不同，在於系統會根據你寫入的路徑，自動創建文件夾，並為該用戶分配許可權，該文件夾的owner屬於該用戶。這里可以使用%username%的變數，讓系統自行完成。當然在指定了 主目錄後，你仍然可以訪問其他有許可權使用的資源。
e、關於策略的執行順序是本機、站點、域、ou、子ou。如果有設置上的重復，按照執行的順序，後面的設置將會覆蓋前面的設置。
如果在ou上設置「block policy inheritance」，那麼上層的策略將不會在這一層獲得執行。
如果在ou上設置「No override」，那麼這一層將不會被後面的策略設置覆蓋，也就是說即使後面有相同的設置，仍然以這一層的設置為准。
如果在ou上設置「disabled」，那麼這個策略將會被禁止執行。
如果在策略的properties security上取消了對應的組的read和apply group policy，那麼對應的組將會無法應用到策略。通常默認被應用的組有authenticated user。
如果你取消了該組的兩個許可權，然後add其他組，同樣賦予read和apply group policy的話，此策略將只會被該組執行到，這也就是所謂的filter。
如果你的域中有多台dc，可能需要在dssite.msc中手動同步它們。
你也可以在伺服器上使用secedit /refreshpolicy user_policy(machine_policy) /enforce 來強制刷新策略
這樣的辦法同樣適用於client。
f、執行的腳本，可以放在computer configuration和user configuration中執行。
對於user，通常可以放置更改用戶屬性的東西。
對於computer，通常可以放置更改計算機屬性的東西。
這兩個沒有絕對界限，但通常登陸的時候，都屬於domain users成員，這樣如果需要更改注冊表或系統文件之類的，可能會遇到許可權問題，那麼我們也可以把這樣的腳本放在computer中，這樣可以在user登陸之前獲得執行。
(這里順帶說一句：大家很少用到計算機賬戶吧，那麼計算機賬戶的作用在這里可以得到體現，由於此時還沒有用戶賬戶驗證，計算機賬戶和dc的驗證有一方面來源於本地計算機賬戶和dc之間保持一個密碼同步，以便於在這種特殊的情況下獲得驗證，該密碼默認30天變更一次。
你甚至可以在sharefolder上添加計算機賬戶的許可權：)如果由於dns對應或者其他的一些原因，導致這個密碼無法同步，dc將會無法驗證該計算機賬戶，這可能會導致計算機登陸腳本無法執行。在dc的日誌上一般都會給出一個錯誤提示，ComputerNetbiosName$無法存取。解決的辦法，可以通過在客戶端上執行netdom重置該信任關系，這是另話了。)
對於user的設定，只需要登出然後登入即可獲得腳本的應用。
對於computer的設定，則需要重新啟動機器來獲得腳本的執行。
註：從上面的幾點中，大家可以看到計算機在登陸的時候需要通過dns來定位dc，從而定位
定位gpo，sysvol(策略、腳本、管理模板都存放在這里)，dns對於ad的設置是至關重要
的，一般來說可以這樣設置，將客戶端的dns指向dc(如果dc上是雙網卡的話，那麼指向內部
網卡dns)，然後在dc上設置轉發，forward到外部(isp)dns。
上面只是就一些常見的問題做簡要介紹，如果遇到更為復雜的問題，就需要查閱其他資料來解決了。
關於大家平時遇到的問題，都整理成faq放在下面
FAQ：
我的配置過程如下：
1、製作腳本文件config.bat並拷貝至域控制器伺服器下的sysvol\sysvol\scripts目錄下
該腳本文件用 net use z: \\linux_file\share 命令
2、配置「配製文件路徑」：路徑指向：\\nwf_sav(域控制伺服器名)\netlogon
配置「登錄腳本路徑」： config.bat
3、在客戶機注銷重新登陸時出現以下窗口：但未能將共享文件夾映射為Z盤。
回答：一般腳本的存放位置有兩種觀點：
1、將登陸腳本放在\\server\netlogon下(在dc上的物理路徑是 %systemroot%\SYSVOL\sysvol\domainname\SCRIPTS ，而不是 sysvol\sysvol\scripts)
在設置賬戶屬性中登陸指令檔的時候，此時是登陸域的時候默認尋找登陸腳本的位置
如果需要修改該腳本，需要手動定位到上面的路徑，
優點是腳本集中放置
2、將登陸腳本放在策略gpo所處的路徑下(在dc上的物理路徑類似於這樣
\\domainname\SysVol\domainname\Policies\{142B4268-9574-471F-9F7F-9AA04836F57F}\User\Scripts\Logon，這里一長串的數字是gpo的guid，用來唯一的標識這個對象，
可以通過查詢該策略的屬性，來察看該guid)
在設置策略中登入指令檔的時候，此時是登陸域的時候默認尋找登陸腳本的位置
如果需要修改該腳本，可以點擊下方的「顯示檔案」
優點是和策略關聯性強，編輯查找方便
無論用哪種方法，如果腳本放置在默認的查詢路徑，指定登陸檔的時候就不用寫路徑
如果不是，就需要填寫完整路徑，當然這個路徑需要對於client可用，也就是說
不能填寫諸如 c:\winnt\sysvol\sysvol 這樣的路徑，否則client在登陸的時候，只會
在自己的機器上 c:\winnt\sysvol\sysvol 查找腳本，顯然是找不到的，因為腳本
是下載到本地執行的。
那麼我們先看看腳本是否能夠在client上正確執行，
在client上 winkey+r，然後填入腳本的路徑，比如 \\servername\netlogon\config.bat
執行一下，是否能夠等到正確的結果？
然後察看上面的位置中指定的路徑是否正確
如果是通過策略指定的登陸腳本，我們再用 gpresult /v ，察看一下client是否應用到了
您制定的策略，如果沒有就要考慮使用 dssite.msc 手動同步域中的所有dc，然後
secedit /refreshpolicy user_policy (machine_policy)/enforce 強制刷新策略，
然後client重新登陸或者重新啟動一下(這取決於您制訂的是用戶登陸腳本還是計算機登陸腳本)
如果還是不行，那麼在早先的那篇文章有提到，
有可能是由於本地已經map 了同樣盤符的盤，導致沖突
有可能是由於map的共享路徑許可權設置錯誤，常見的是共享許可權的設置問題
有可能是由於map的共享是跨平台的存儲設備或者格式，它們可能不能在登陸時在系統要求的
時間內響應，這導致系統認為該資源超時連接，不可用。您可以嘗試更換netbios名稱或者ip
B. win2003域控制器administrator賬號不小心停用了，如何啟用
管理員administration賬號被禁用，用F8進入安全模式。按Ctrl+Alt+Del仍可纖雀以以管理員的身份登陸windows系統。然後、開始銷豎檔-管理-計算機管理-用戶。把administration賬號前的勾打掉。
控制器： 控制器（controller）是機器的核心。標準定義為：按照預定順序改變主電路或控制電路的接線和改變電路中電阻值來控制電動機的啟動、調速、制動和反向的主令裝置。由程序計數器、指令寄存器、指令解碼器、時序產生器和操作控制器組成，它是發布命令的「決策機構」，即完成協調和指揮整個計算機系統的操作虧亂。電力是其應用的一級學科，配電與用電為二級學科。
C. 天龍好幫手腳本帳號被鎖定,要怎麼解開
程序本身或對你賬號的限製造成，具體什梁早蘆么原因應橡帶該聯系客服。另外像這種沒有必要增加費用，我國什麼都不多，就破解睜談的最多。
D. 腳本助手怎麼改賬號密碼
1、首先打開腳本助手。
2、其次登陸助手後打開設置。
3、最後在設置里打開修改賬號禪羨租密碼選項即可，修改腳本助手賬號派鍵密賀兆碼。
E. 無法解鎖win7域賬號。域賬號密碼到期後更改賬號密碼後被鎖住，用管理員賬號登陸域控制器里也無法解鎖
襲隱兩種解決方法：
1、使用管理員將Administrator賬戶啟用，然後拍慎廳注銷當前管理員用戶再以Administrator賬戶登錄；
2、重新啟動計算機，按F8呼叫高級啟動菜單，進入安全模式，使用Administrator登錄，Administrator賬戶在正常情況下雖然是被禁孝芹用的，但進入安全模式下會自動啟用的。
F. 請教 一個關於域控登陸腳本執行的問題.請解答
1域控制器上的內容是完全相同的，區別只是第一台域控制器（主域控制器）上擁有FSMO。2FSMO的英文全稱為.這些角色包括:★架構主機(Schemamaster)－架構主機角色是林范圍的角色。★域命名主機(Domainnamingmaster)－域命名主機角色是林范圍的角色，每個林一個。★RID主機(RIDmaster)－RID主機角色是域范圍的角色，每個域一個。此角色用於分配RID池，以便新的或現有的域控制器能夠創建用戶帳戶、計算機帳戶或安全組。★PDC模擬器(PDCemulator)－PDC模擬器角色是域范圍的角色，每個域一個。將資料庫更新發送到WindowsNT備份域控制器的域控制器需要具備這個角色。此外，擁有此角色的域控制器也是某些管理工具的目標，它還可以更新用戶帳戶密碼和計算機帳戶密碼。★結構主機(Infrastructuremaster)－結構主機角色是域范圍的角色，每個域一個。此角色供域控制器使用，用於成功運行adprep/forestprep命令，以及更新跨域引用的對象的SID屬性和可分辨名稱屬性。ActiveDirectory安裝向導(Dcpromo.exe)將這五種FSMO角色全部分配給林根域中的第一台域控制器.3FSMO也可以在不同域控制器之間切換，通過角色搶奪實現。4因此一個域中可以有任意多個域控制器，但只有一個擁有FSMO角色。
G. 域組策略腳本的許可權問題
只解決許可權問題，那就很簡單了，域策略里：計算機配置>windows設置>安全設置>受限制的組
在這里添加一個組 Power User 成員 Domian\Domain User (要添加administrations 組 那就是本地管理員許可權）
接下來就是在客戶端 gpupdate /force 強制刷新策略，重啟計算機就OK
H. Windows AD域通過GPO設置客戶端電腦本地管理員賬號密
0x01 介紹
在實際生產環境中，由於Windows AD域的限制，桌面對客戶端電腦進行軟體安裝或其他系統配置時，均需要管理員許可權，而網內客戶端眾多，不同客戶端電腦密碼可能都是銀前毀不同的，也經常忘記本地管理員密碼，所以這時候就需要批量變更客戶端的本地管理員密碼。
0x02 環境介紹
DC：Windows Server 2012R2 域名：yeah.local
CLIENT:Windows 7 已經將客戶端加入域
0x03 操作步驟
1. 首先在DC上用於與計算機控制台，新建一個計算機OU，便於管理，將剛加入域悔棗的計算機移動到這個OU中。
2. 在DC上打開組策略管理工具，新建一條策略，命名自己能看懂即可
3. 並對此策略進行設置，依次展開 計算機配置— 策略 — Windows設置 —安全設置 — 安全選項 — 賬戶：重命名系統管理員賬戶 將administrator用戶重命名其他，此處修改為Local_admin。
4. 然後再回到Windows設置 — 腳本(啟動/關機)，新建一條啟動腳本。
#啟動腳本內容：意思為新建administrator用戶，密碼設置為passwd1!,啟用此賬戶
net user administrator passwd1! /active:yes
將腳本內容復制到txt，另存為cmd後綴或者bat後綴文檔，然後點開啟動屬性，點開顯示文件，出來路徑，將腳本文件粘貼到路徑中，再點開編輯瀏覽到剛才路徑，選中寫好的開機腳本文件。
另外，有時候還有特殊需求，比如域中客戶端用戶由於一些特殊原因需要本地管理員許可權，有這個需求的時候又不可能每次到跑到客戶端操作電腦，因 此可以使用受限制的群組，設定，當域中某些特定用戶需要有本機管理員許可權的時候就可以直接在AD伺服器上操作即可。
5. 回到用戶和計算機管理工具，在Users中新建一個組，命名為Local-admins並將張三加入到此用戶組測試。
6. 再回到組策略管理工具中，此處依舊掛載在這條GPO策略上，找到計算機配置 — Windows設置 — 安全設置 — 受限制的組 新建Administrators 組，並將默認需要添加到客戶端本地管理員的用戶與用戶組添加進來。
7. 確定後關閉這條GPO編輯頁，回到組策略管理工具，找到之前新建的yeah-Computers計算機組的OU，右鍵鏈接到現有GPO找到剛新建的GPO，鏈接確定。
8. 此時，到DC伺服器中強制刷新組策略。
#強制刷新組策略命令
gpupdate /force
9. 找一台客戶端驗證策略是否生效，以本地管理員用戶Local_admin登錄，查看策略是否生效，因為應用的是計算機策略，只能在本地管理員賬號下看到策略是否應用。
#查看當前用戶計算生效gpo
gpresult/r
#如發現策略沒應用，可多執行幾次強制刷新策略命令
gpupdate /force
10. 可以看到策略已經應用，我們再切換用戶，以張三登錄客戶端，右鍵點擊計算機，計算機管理–本地用鋒備戶和組–組–administrators，可以發現當前已經有我們設定的用戶組位於本地管理組中了。
到此已經完成需求的所有操作，即通過GPO統一設置域內計算機本地管理員賬戶重命名為Local_admin,並在AD上新建一個Local-Admins用戶組，將這個組加入到客戶端本地管理員組中，後續需要用到本地管理員的域用戶只要在AD上將用戶加入到這個組即擁有本地管理員許可權
I. 如何使用腳本將域用戶登陸power user本地組
你好，
進入域控系統，在組策略內可實嫌耐現把用戶由USERS許可權升級為Power Users許可權，具體返蔽操作如下： 1、打開「default domain poliy「（域漏者州控）--->計算機配置->windows設置->安全設置->受限制的組 2、右擊->添加組-->"Power Users"->雙擊該組->這個組的成員