%USERDOMAIN%\%USERNAME% als lokalen admin eintragen

[ToMMics 10]

hi und schon im vorraus vielen Dank für eure Unterstützung.

 

Wie realisiere ich am besten, dass der derzeitig angemeldete Domänen Benutzer während der Anmeldung lokaler Admin wird und nach dem abmelden wir aus der Gruppe ausgetragen wird?

 

Hintergrund:

Löse ich das Problem über die Gruppe Domain Users mit den eingeschränkten Gruppen, haben alle Domain Users Zugriff auf jeden Admin Share auf jedem Rechner. Welches für Viren ein tolles Geschenk darstellt. Daher will ich das nur der jeweilige Benutzer am jeweilgen Rechner lokaler Admin ist, und nur dort.

 

Ist das realisierbar? Ich kann ja nen Script ausführen mit net localgroup ... aber das bringt ja nicht viel der sich der user selber nicht in den Adminstand beheben kann ...

 

Ideen?

 

Danke

[Christoph35 10]

Warum sollen die User überhaupt Local Admin sein?

 

Vielleicht wäre es besser, das zugrundeliegende Problem zu lösen, anstatt es über die Admin-Rechte zu umgehen.

 

Schließlich hast Du ja schon sehr richtig erkannt, dass es u.a. wg. Viren zumindest fragwürdig ist, die User als Admin arbeiten zu lassen.

 

Christoph

[jaksa 10]

Aaron Margosis' "Non-Admin" WebLog : Anti-virus vs. Non-Admin

[ToMMics 10]

ich wusste das dieses diskussion entsteht :)

 

Es ist einfach notwendig das die User Admin sind, weil sie viele Sachen installieren/deinstallieren und testen müssen. Es steht in keinem Verhältnis jedes Programm jedes mal von der IT Abteilung installieren zu lassen.

 

Da sind user die die neusten Spiele installieren, user die Applikationen entwickeln, und und und.

Es ist kaum anders zu lösen.

 

Ich glaube mit Vista kam dieses Rsat tool für neue Client Side Extension wo ich die GPO bei Benutzeranmeldung mit den entsprechenden Rechten austtatten kann.

 

Ich schaue mir das mal an.

[jaksa 10]

Sind die Rechner dem User fest zugewiesen oder springen die zwischen den Rechnern?

 

Da sind user die die neusten Spiele installieren, user die Applikationen entwickeln, und und und.

 

Noch ein Grund mehr die Admin Rechte zu entziehen ;)

Ich liebe es wenn die Entwickler sich in der Design Phase keine Gedanken machen über die Security (ich kenne das, ich entwickle selber ;)

[ToMMics 10]

Die Rechner sind den Benutzern nicht fest zugewiesen.

[Christoph35 10]

Da sind user die die neusten Spiele installieren

 

:shock:

 

Dürfen die das? Ich würde in unserer Firma den Teufel tun, User auf den Arbeitsplätzen Spiele oder sonstige SW installieren zu lassen....

 

Und jaksa´s Argument ist auch nicht von der Hand zu weisen....

 

Für die Tests kann man natürlich auch virtuelle Maschinen nutzen und die Arbeitsrechner von derartigen Experimenten frei halten.

 

Christoph

[ToMMics 10]

och jungs ... :)

es ist immerhin die hauptaufgabe unserer redakteure diese Spiele zu bewerten und zu testen, von daher dürfen die das ja. Und nen aktuelles spiel unter ner vm zu testen funktioniert natürlich nicht.

 

also geht es unter meinen anforderung nicht?!

[IThome 10]

Wenn Du als Computerstartskript "NET LOCALGROUP ..." ausführst, kann der/die User den lokalen Administratoren zugefügt werden. Und da er dann lokaler Administrator ist, kann dann auch mit einem Abmeldeskript und "NET LOCALGROUP" gearbeitet werden. Mit %USERNAME% kannst Du dann aber nicht arbeiten, da zum Zeitpunkt der Ausführung des Computerstartskripts noch kein User angemeldet ist. Das %USERNAME% kann im Abmeldeskript benutzt werden ...

[Christoph35 10]

Ok, als PC-Spiele Redakteure sollten die Spiele installieren dürfen, sehe ich ein :D, dass das in VMs eher schlecht ist, auch...

 

Leider ging das ja aus deinem Ursprungsposting nicht hervor.

 

Nun, dass es so einfach nicht geht, hat ITHome ja schon geschrieben.

Aber ein Computerstartscript wäre auch meine Idee gewesen.

 

Sind das dann eigentlich separate Computer? Oder schreiben die auf dem gleichen Rechner auch ihre Testberichte und machen ihre sonstige tägliche Arbeit?

 

Christoph

[ToMMics 10]

ok wie sag ich dann aber im computerstartscript welcher user hinzugefügt werden soll? Also zu dem Zeitpunkt weiss man ja noch gar nicht welcher user sich anmelden wird?! :)

 

@christoph: das sind dieselben rechner.

[IThome 10]

Genau das ist das Problem, entweder gleich alle (die es sollen, eine Gruppe ...) und danach alle wieder raus oder gar nicht ...

[ToMMics 10]

bei alle bin ich ja wieder bei der ursprungssituation das jeder auf jeden admin share zugreifen kann ...

 

ok ich seh schon. es lässt sich so nicht lösen. ich schau mir mal die cient side extensions an.

[IThome 10]

Wieso jeder ? Nur die, die Du der lokalen Administratorengruppe zufügst (das müssen ja nicht die Domänenbenutzer sein) ...

[ToMMics 10]

die aufgabenstellung ist das der angemeldete benutzer für die anmeldezeit adminrechte haben soll :)