组策略。
1. 创建一个 "Users Denied Interactive Logon"然后把限定登陆工作站的用户加进去
2. 在根域创建组策略对象 "Deny Interactive Logon"
3. 在"Computer Configuration"下"Windows Settings"下"Security Settings"下"Local Policies"下的"User Rights Assignment添加"Deny log on locally"权限给"Users Denied Interactive Logon"组,然后定义可以访问的计算机拒绝读取这条策略