netzwerkbenutzer in Lokale-Client Gruppe einfügen

[katze78 11]

hallo zusammen

 

ich habe einen knopf in der Leitung.

Ich habe ein Server und x Clients.

 

Ich konnte die Clients einwandfrei ins Netz aufnehmen. Werden auch in Activ Directory angezeigt unter Computer.

Auch Anmelden kann ich mich auf dem Client mit einem Netzwerk Benutzer. Soweit funktioniert alles.

 

Aber nun wollte ich einem Netzwerkbenutzer explizit an dem ClientPC diesen als LokalerAdmin hinzufügen.

 

Ich bringe es nicht fertig.

 

Ich habe im AD auf dem Server unter Comuter auch den gewünschten Benutzer hinzugefügt, aber trotzdem hat er Lokal keine Adminrechte.

 

Kann mir jemand weiterhelfen?

 

Danke und einen schönen Tag.

 

System Infos:

 

Clients = Win XP Pro

Server = Win 2003 (als Domain)

[Eyeswide 10]

Hi,

 

entweder du fügst ihn unter "Domänen-Admins" im AD hinzu, dann bekommt er bei der nächsten Anmeldung Admin-Rechte.

 

Oder

 

Du baust eine Gruppe z.B. "LokaleAdmins" und machst ein GPO in dem du über =>Computer Einstellungen => Windows Einstellungen => Sicherheitseinstellungen=> Eingeschränkte Gruppen

 

Alles was du dann da, für die Gruppe Administratoren, definierst wird in die lokale Administratoren Gruppe gepackt.

 

Aber vorsicht, diese Richtlinie entfernt alles, was bereits drin liegt.

[NorbertFe 2.279]

Hi,

 

entweder du fügst ihn unter "Domänen-Admins" im AD hinzu, dann bekommt er bei der nächsten Anmeldung Admin-Rechte.

 

 

Na klar. Weil der user ja auch mal schnell die Domäne administrieren können soll. Der Tipp ist eher was für die Tonne.

 

Du baust eine Gruppe z.B. "LokaleAdmins" und machst ein GPO in dem du über =>Computer Einstellungen => Windows Einstellungen => Sicherheitseinstellungen=> Eingeschränkte Gruppen

Aber vorsicht, diese Richtlinie entfernt alles, was bereits drin liegt.

 

Ersteres stimmt. Die letzte Aussage ist falsch, bzw. davon abhängig wie man die GPO baut.

Eingeschränkte Gruppen Beispiel 3

 

Bye

Norbert

[Eyeswide 10]

Der erste Tipp war nur bedingt für die Tonne ;)

Es hätte gefunzt.

 

Was das zweite angeht, so habe ich mal wieder nicht an die zweite Option gedacht, weil ich bei der Admin-Gruppe eigentlich immer die erste nehme, dann kann nämlich ein Admin nicht andere Leute auch zu Admins machen.

 

Denn die werden bei einem GPO-refresh wieder entfernt.

[Sunny61 833]

Der erste Tipp war nur bedingt für die Tonne ;)

Es hätte gefunzt.

 

Einen unbedarften User zum Domainadmin machen ist für mich schon auch für die Tonne.

[Eyeswide 10]

Oh Manno keiner versteht mich. Ihr habt natürlich recht. Es ging mir nur darum, das es gefunzt hätte.

Als ich den Tipp gab habe ich aber nicht über die weitreichenden Folgen nachgedacht.

Denken ist eben nicht immer so meine Stärke ... :D :p

[Sunny61 833]

Oh Manno keiner versteht mich. Ihr habt natürlich recht. Es ging mir nur darum, das es gefunzt hätte.

 

Das allein ist aber sau gefährlich.

 

Als ich den Tipp gab habe ich aber nicht über die weitreichenden Folgen nachgedacht.

 

Genau deshalb hat Norbert ja einen Komentar dazu abgegeben. Es gibt sicherlich noch andere die das lesen. Und die würden dann auch so ihre User zum Domadmin machen. Und genau das soll eben nicht passieren. ;)

[NorbertFe 2.279]

Der erste Tipp war nur bedingt für die Tonne ;)

Es hätte gefunzt.

 

Deswegen definiert man als Erstes ja auch eine GPO, die die Dom-Admins aus der Gruppe der lokalen Admins aller PCs entfernt.

 

Bye

Norbert