Standard Benutzer und Domänenaufnahmen

[bernardo 10]

Hallo zusammen,

 

ich würde gerne mal euch als experten zu folgendem Sachverhalt befragen:

 

In userer Domäne habe ich gesehen das dass Attribut ms-DS-MachineAccountQuota auf 10 gesetzt ist. Jetzt habe ich durch die 70-640 Schulung gelernt das man aus Sicherheitsgründen den Wert auf 0 setzten sollte, damit Standard Domänenuser nicht die möglichkeit haben, PC's und Laptops in die Domäne aufzunehmen.

 

Könnt ihr mir hierzu ein paar Beispiele aus Sicherheitsgefährdender Sicht geben?

 

Vielein Dank

[Dukel 436]

Warum man das abschalten sollte?

 

Willst du das ein Mitarbeiter sein privaten Rechner in die Firma nimmt und in die Domäne joint ohne das du Kontrolle über das Gerät hast?

[PowerShellAdmin 169]

Naja das Gerät wird nicht dem Software, Hardware und Konfigurationsstand der Netzwerkgeräte entsprechen.

-Daher ein Sicherheitsrisiko, da auf dem Client womöglich Schadsoftware vorhanden ist.

-Wer haftet für Schäden am dem Privatgerät ?

-Lizenzmissbrauch -> Geräte verwenden Software obwohl nicht genügend Devicescals vorhanden sind.

[NilsK 2.790]

Moin,

 

ein besserer Weg besteht darin, den Domänen-Benutzern das Privileg "Hinzufügen von Arbeitsstationen zur Domäne" zu entziehen. Das hat denselben Effekt, dokumentiert sich aber leichter und erfordert kein Gefummel mit ADSI Edit.

 

Gruß, Nils