lokale Admins zu Domänen-Admins machen

[Landschaftsgest 10]

Hallo Community,

 

haben einen Server mit W2K8R2. Dieser war ein Standalone-Server (Workgroup). Für ein paar Kollegen wurden auf diesem Server lokale Admin-Accounts angelegt. Nun wurde der Server in eine neue Domäne aufgenommen. meine Fraeg: Können die lokalen Accounts des Servers in Domänen-Accounts "umgewandelt" werden?

 

THX schon mal für eure Bemühungen

[Dukel 436]

Was willst du umwandeln? Den User? Das Profil? Das Passwort?

[dmetzger 10]

Wenn Du computerlokale Administratoren zur Domänengruppe "Domänen-Admins" hinzufügen willst - nein, das funktioniert nicht.

[NorbertFe 1.830]

Wenn Du computerlokale Administratoren zur Domänengruppe "Domänen-Admins" hinzufügen willst - nein, das funktioniert nicht.

 

Na zum Glück. :)

 

Bye

Norbert

[nerd 28]

Hi,

 

verstehe auch noch nicht so genau was du machen möchtest. Aber gleich noch ein Tipp für die lokalen Admins. Ich würde für jeden Rechner eine Gruppe in der Domäne einrichten etwas in der der Art G_RechnerName_lclAdm welcher exclusiv Mitglied der lokalen Admins auf der Maschine ist. Benutzer die Admin auf der Kiste werden sollen, fügst du einfach dieser Gruppe hinzu. Wenn ihr eine Monitoring Software habt, würde ich die lokalen Admingruppen überwachen um sicher zu stellen, dass dort nur die G_* Gruppe drin ist... Damit machst du dir das Management der Rechte um einiges einfacher und auswertbarer.

 

Lg

[NilsK 2.795]

Hi Johannes,

 

die Idee ist super (meine ich ernst) - aber leider so ziemlich das Gegenteil dessen, was der TO will (und wovon ihm dringend abzuraten ist).

 

Gruß, Nils

[dmetzger 10]

die Idee ist super (meine ich ernst)

 

Und sie ist mit Gruppenrichtlinien -> Einstellungen (Preferences) auch leicht zu verwirklichen, und zwar so, dass ohne weitere Überwachung tatsächlich nur die Gruppenmitglieder computerlokale Admins sind und bleiben.

[olc 18]

...und von mir noch der Hinweis, daß man dafür auch die altbekannten "Restricted Groups" nutzen kann.

 

Jedoch sollte in jedem Fall dabei bedacht werden: Eine Maschine, auf der lokale Administratoren eingerichtet sind, die nicht den Domänen-Admins entsprechen, "gehört" auch nicht mehr den Domänen-Admins und sind aus Sicherheitsperspektive nicht mehr "voll verwaltet" im Domänen-Sinne. Im besten Fall sind also die lokalen Administratoren soweit als möglich zu beschränken, das wird leider häufig unterschätzt.

 

Aber wie Nils schon sagte ist es nicht genau das, was der TO sucht.

 

Viele Grüße

olc

[Landschaftsgest 10]

So,

 

besten Dank erstmal für die rege Diskussion. Ich möchte es mir einfach machen und auf unserem "ehemals" Standalone-Server ist so ziemlich alles, was wir an Management-Tools und Software haben, installiert. Die Software ist dann oft von den lokalen Admins konfiguriert worden. Dies müsste alles neu gemacht werden, wenn sie sich mit ihrem Domänen-Account anmelden würden. Also nutzen sie momentan noch immer die lokalen Anmeldedaten. Auf Dauer ist das natürlich nicht gewünscht. Und so habe ich mich gefragt, ob, und wenn ja,wie die lokalen Accounts (auch das Profil) zu Domänen-Accounts umgewandelt werden können.

Ich hoffe, ich habe es nun etwas klarer ausgedrückt...

[NilsK 2.795]

Moin,

 

da wirde dir die Mitgliedschaft in den Domänen-Admins exakt gar nichts nutzen.

 

Warum bist du der Meinung, dass zur Nutzung der Software Adminrechte nötig sein sollten? Und selbst wenn: Lokale Adminrechte würden ausreichen, die könntest du auch einem Domänenbenutzer zuweisen, ohne ihn zum Dom-Admin zu machen.

 

Du solltest dir ein paar Windows-Netzwerkgrundlagen aneignen, bevor du ein Windows-Netzwerk aufsetzt. (Ernst gemeinter Rat.)

 

Gruß, Nils

[Dukel 436]

Wenn es nur um die Einstellungen (im Profil) geht kannst du diese sehr wohl migrieren.

 

Wie das im Einzelfall geht kommt auf eure Profilstruktur an.

[Sunny61 773]

Ich möchte es mir einfach machen und auf unserem "ehemals" Standalone-Server ist so ziemlich alles, was wir an Management-Tools und Software haben, installiert. Die Software ist dann oft von den lokalen Admins konfiguriert worden.

 

Du kannst das Profil migrieren: faq-o-matic.net Benutzerprofile an neue Benutzer bertragen

[Landschaftsgest 10]

@Sunny: Das hört sich doch schon gar nicht mal so schlecht an. Werde ich mir mal ansehen.

 

Danke