AD 預設允許域帳號登入任意成員電腦（DC 除外），存資安風險。若員工惡意登入他人電腦竊取機密，後果嚴重。透過群組原則指定用戶可登入電腦：

操作步驟

1. Win+R → dsa.msc 開啟「Active Directory 使用者和電腦」。
2. 右鍵目標使用者 → 「內容」→「帳號」頁籤 → 「登入電腦...」。
3. 選「下列電腦」→ 加入該用戶自用電腦名稱（可多台）。
4. 確定套用。

重要補充：加入 DC (網域控制站) 電腦名

企業常用域帳號登入 OA、Wiki 等平台（LDAP 驗證），若不將 DC 電腦名加入清單，用戶將無法登入這些平台。安全性無虞：域控制器預設拒絕一般域用戶本地登入，加入清單僅允許網路驗證，不開放本地互動式登入。

此法最嚴格但最有效，適合高資安需求環境。