Lokale Admins auf Domänen Clients

[einstein 10]

Hi,

 

das Thema hat´s ja in sich. Wie seht ihr das?

Alle die lokale Admins sein sollen habe ich hier in einer eingeschränkten Administratoren Gruppe auf OU Ebene. Was aber bedeutet das ein User in seiner gesamten Abteilung Admin Rechte hat, nicht so prickelnd bei Abt. Leiter in der gleichen OU. Sehe ich das so richtig?

 

Alternative wäre ja es in jeden einzelnen Rechner einzupflegen, was meiner Meinung nach nicht praktikabel ist.

 

Wie also kann ich z.B. einen User auf allen Rechnern zum Admin machen diesen aber nicht zum Domänen Admin. Z.B. für eine zentral verwaltetet Anwendung oder ähnliches. Was ist hier best Practice?

 

Oder gibt es gar eine Möglichkeit jeden User aus seinem Rechner zum Admin zu machen? Das wäre zusätzlich zu meinem ein User überall Admin Problem auch interessant.

 

Generell finde ich irgendwie das diese Thematik nicht so sonderlich gut gelöst ist, oder sehe ich da was falsch? Vielleicht können wir hier ja mal kurz darüber diskutieren.

 

Was meint ihr?

[try_to_find 10]

Hallo,

 

baue doch eine Gruppe "UserAdmins" (Benennung ist beliebig) ins AD uns setzte diese bei jedem Client in die lokale Admingruppe. Das machst Du einmal bei der Installtion der Clients und steuerst dann über die AD Gruppe den lokalen Zugriff. Am effektivsten ist das natürlich, wenn Du die Clients mittels Image verteilst, dann machst Du das nur im Master.

 

Ich würde auch mal prüfen, ob es wirklich gleich Admin sein muss oder ob Du lokal mit der Hauptbenutzergruppe oder einer individuell berechtigten Gruppe auskommst. Ein User als Admin halte ich selbst nur auf lokaler Ebene nicht für die beste Idee.

 

Das müsste eigentlich auch mit Skripten zu machen sein. Die müssten mit Domänen Admin Rechten laufen und die entsprechende Gruppe lokal eintragen.

 

mfg

 

try_to_find

[Sonic 10]

Hi,

 

du kannst die Gruppe (z.B. lokaleUseradmins) auch über ne GPO allen Client zuweisen. Du findest die Einstellung unter den Computereinstellungen der GPO.

 

Bei den Computereinstellungen unter "Windows Einstellungen"

"Sicherheitseinstellungen", "Eingeschränkte Gruppen"

einfach die Gruppe hinzufügen und der Gruppe die lokalen Administratoren zuweisen. Danach ist jeder User der Mitglied der Gruppe "lokaleUseradmins" ist auch lokaler Administrator.

 

Gruß

 

Jens