http://blog.sina.com.cn/s/blog_6285a01d0100rm1j.html
gpedit.msc
白名单法：
“本地计算机”策略 -> 计算机配置 -> Windows 设置 -> 安全设置 -> 本地策略 -> 用户权利指派 -> 在本地登录
去掉里面所有的用户，只填加你的用户帐号（注：帐号可以是域用户帐号）
这样，这台电脑就只有填加的这个用户能登录了
如果你的电脑使用人比较多，但有一两人比较不自觉，你不想让他们用你的电脑，那看下面
黑名单法：
“本地计算机”策略 -> 计算机配置 -> Windows 设置 -> 安全设置 -> 本地策略 -> 用户权利指派 -> 拒绝本地登录
效果和上面差不多，在黑名单上的人就不能使用你的电脑了
使用这种方法要注意一点：
不要把本机管理员帐号排除掉，免的网管工作不便而找你麻烦
https://bbs.et8.net/bbs/showthread.php?t=706712
陆的时候你要选择要登陆的域，然后再用域帐户登陆。
对LZ提出的问题，我这样理解的，xp客户机属于同一个2003的域，需要xp客户机中的2台不能让其他域用户登陆，只准管理员等陆，对不？
方法一：
用该域的域管理帐户或者该机的本地系统帐户（推荐用域管理帐户）登陆到你要作限制的这2台机器，然后进行组策略设定：
命令行gpedit.msc－>计算机配置－>安全设置－>本地策略－>用户权限分配－>“允许本地登陆”中确定2件事：
1.确定Domain Users这个组以及域上普通用户加入的一些公共全局组不在这个策略内，因为域上普通帐户属于Domain Users组和一些人为加入的公共全局组
2.保证本地Administrators、Domain Admins、Enterprise Admins等管理组在这个策略内（因为域管理帐户属于这些组，加一个便可）
这样以来，此2台计算机只允许本地系统帐户和域管理帐户登陆了
方法二：
如果域上的普通帐户不是很多，你可以通过用域管理帐户登陆到域上（这里可以在任何机器上作，因为是域管理帐户），在“Active Directory 用户和计算机”上具体限定每个域普通帐户的权限：
“Active Directory 用户和计算机”－>找到你需要设定的这些域普通帐户（比如：user1）－>右键“属性”－>“帐户”选项－>点击“登陆到”－>选择“下列计算机”（这个可以让你决定让某个域普通帐户可以登陆到那些计算机，不可以登陆到那些计算机）
方法三：
建立一个全局组，然后将不准登陆的域普通帐户加入到该组，再在要限定的2台计算机上组策略中：
命令行gpedit.msc－>计算机配置－>安全设置－>本地策略－>用户权限分配－>“拒绝本地登陆”添加该全局组便可
1. 在要拒绝域用户本地登录的计算机上，打开组策略编辑器。
2. 在拒绝本地登录一项中添加要拒绝域用户帐户
位置
计算机配置/Windows 设置/本地策略/用户权利指派
