Admin soll Passwort von anderem Admin nicht ändern dürfen

[bherrmann]

Hallo zusammen,

vielleicht kann mir jemand bei meinem Problem helfen. Ich betreue einen W2K-Server in einer AD-Domäne. Es gibt 2 Accounts, die Mitglied in der Domänen-Admin-Gruppe sind.
Weiß jemand von euch, ob ich dem einen Admin die Berechtigung nehmen kann, dem anderen das Passwort zu ändern oder andere Admins anzulegen. Also quasi ein Admin-Light.

Grüsse aus Lörrach

B. Herrmann

[grizzly999]

Nein, das geht nicht. Admin ist Admin. Was du für Möglichkeiten hast, hängt von deinen Anforderungen ab, die du nicht geschrieben hast. Reicht es,wenn der andere Konten anlegen und nur seine eigenen erstellten Konten verwalten kann, dann kannst du ihn in die Konten Operaten stecken. Muss er den Server sichern oder Freigaben erstellen können, dann in die Server-Operatoren (respektive auch in beide). Oder soll er sonst besondere Dinge im AD machen können, dann kann man einem eingeschränkten User auf die Objekte die Verwaltung delegieren. Da fängt die Bastelei aber schon an.

Sind andere administrative Aufgaben dabei, ich meine solche, die Standardmäßig nur Administratoren vorbehalten sind, dann kann man einem user die entsprechenden Berechtigungen auf Registry Keys und Folders geben, ihm die Benutzerrechte zuweisen, jetzt hat man heftige Bastelei.

grizzly999

[the_brayn]

Hiho grizzly,

>....jetzt hat man heftige Bastelei

sei doch ehrlich, _Du_ liebst doch sowas *fg*

Gruß Guido

*schnellrausschleich*

[grizzly999]

Original geschrieben von the_brayn Hiho grizzly, >....jetzt hat man heftige Bastelei sei doch ehrlich, _Du_ liebst doch sowas *fg* Gruß Guido *schnellrausschleich*

Auch hiho
Nein, in so einem Fall nicht. Da bin ich der Meinung: Admin oder nicht Admin, oder die von Microsoft gegebenen vordefinierten Gruppen nutzen.

grizzly999

[bherrmann]

Hallo Grizzly,

Mein "Gastadmin" soll nichts im AD ändern dürfen. Er sollte lediglich in der Lage sein, "normale" Software zu installieren oder Updates einspielen können. Reicht es, wenn ich dem Vollzugriff auf Registry und Dateien gebe? Oder spinnt dann Windows, weil mein User ja nicht Mitglied der Admins ist?

Grüssle aus Lörrach

[thorgood]

Hallo bherrmann,

wenn der Gastadmin also nur an den Client Administrator sein soll
kannst du das über eine Gruppnerichtlinie einstellen, Stichwort "Eingeschränkte Gruppen".
Benutze mal die Boardsuche zu diesem Stichwort.

thorgood

[bherrmann]

Hallo,

nein, der Gastadmin soll Software auf dem Server installieren dürfen, im AD aber nichts ändern können. Auf den Clients kann er machen, was er will.

Grüssle