AD域控制器使用组策略来管理AD用户

组策略（Group Policy）是Microsoft Windows系统管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。通过使用组策略可以设置各种软件、计算机和用户策略。注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。其实简单地说，组策略设置就是在修改注册表中的配置。当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。

首先，默认的域账户是的确只有这样的权限，如果域控制器要变更某一账户或组的权限需要把账户加入到高权限的组，一般来说是加入客户端的本地管理员组，然后再用组策略去禁止显示我的电脑属性以防客户端无故退域，如果楼主需要将域的部分用户在客户端有管理权限的话可以在域控上把相应用户加入一个新创建的全局组，然后在本地客户端把这个全局组加入到本地管理员就可以了，当然你可以利用组策略的委派登录脚本来完成。