Berechtigungen und Domänen Administratoren

[crack24 10]

Hallo,

 

wir haben kürzlichen einen neuen Server von unserem IT Dienstleister bekommen. Dort wurde festgelegt, dass Domänen Benutzer und Domänen Admins Zugriff auf die Dateiablage haben.

 

Jetzt haben wir das Problem, dass manche Clients lokal Adminrechte brauchen, weil Programme sonst Probleme machen. Wenn ich die User allerdings in die Gruppe der Domänen Admins setze, haben Sie auch logischerweise auch dort Zugriff wo nur die Admins Zugriff haben sollen. Dann müßte ich der Gruppe der Domänen Admins wieder Berechtigungen von verschiedenen Ordnern entziehen etc.

 

Irgendwie kommt mir das seltsam vor. Da gibt es doch bestimmt einen besseren Weg, um die User zu lokalen Admins aber nicht Domänen Admins zu machen, oder?

 

Viele Grüße

crack

[XP-Fan 215]

.... besseren Weg, um die User zu lokalen Admins aber nicht Domänen Admins zu machen, oder?

 

Hallo,

 

 

warum macht du diese denn nicht zu lokalen Admins wenn es denn unbedingt sein muß ?

 

Lokale Benutzerverwaltung am PC öffnen, Gruppe Administratoren und dort fügst du die entsprechenden User aus der Domain ein.

[lefg 276]

Hallo,

 

Eventuell reicht es schon, die Domänen-Benutzer der Gruppe(n) der Hauptbenutzer hinzuzufügen.

 

Weiter kann man schauen, wo liegt das Problem primär? Im einfachsten Fall an der der Berchtigung auf den Installationsordner an der Arbeitsstation, in nicht so einfachen Fall an Berechtigung auf Registryschlüssel, ganz schwer an beiden. 

bearbeitet 25. Juli 2013 von lefg

[Sunny61 773]

Eventuell reicht es schon, die Domänen-Benutzer der Gruppe(n) der Hauptbenutzer hinzuzufügen.

Seit VISTA ändert sich dabei nichts mehr an den Berechtigungen, die Gruppen sind nur noch für die SID vorhanden.

 

Jetzt haben wir das Problem, dass manche Clients lokal Adminrechte brauchen, weil Programme sonst Probleme machen.

 

Irgendwie kommt mir das seltsam vor. Da gibt es doch bestimmt einen besseren Weg, um die User zu lokalen Admins aber nicht Domänen Admins zu machen, oder?

Das geht recht einfach über Gruppenrichtlinien:

http://www.gruppenrichtlinien.de/artikel/zentrale-vergabe-lokaler-berechtigungen/

http://www.gruppenrichtlinien.de/artikel/verwaltung-der-lokalen-administratoren/

 

Und zusätzlich sei dir noch der Hinweis auf den ProcessMonitor gegeben, mit dessen Hilfe kann man Access Denied herausfinden und so Programme auch wieder für Benutzer benutzbar machen.

[lefg 276]

Seit VISTA ändert sich dabei nichts mehr an den Berechtigungen, die Gruppen sind nur noch für die SID vorhanden.

 

Der TO hat keine Angabe über das OS der Clients gemacht.

bearbeitet 25. Juli 2013 von lefg

[crack24 10]

Win7 x64 ist das OS. Vielen Dank für eure Tips. Da konnte ich wieder was dazulernen. Werde das gleich mal testen.

[lefg 276]

Bitte melde doch das Ergebnis und die Methode!

[crack24 10]

Ich habe es über die Gruppenrichtlinien versucht aber funktioniert irgendwie nicht. Ich muss dazu sagen, dass das nun auch meine erste Gruppenrichtlinie ist.

 

So sieht das ganze bei mir aus

http://img822.imageshack.us/img822/7811/fql1.jpg

 

Habe dann mit gpupdate.exe auf Client und Server die Richtlinien aktualisiert. Auf dem Client des Users fragt er aber dann trotzdem nach Administrator Kennung wenn ich z. B. Einstellungen am System machen möchte.

[XP-Fan 215]

Hallo,

 

wenn du in de Gruppenrichtlinienobjekten eine Richtlinie erstellst mußt du diese auch noch mit der entsprechenden OU verknüfen.

Eine Anweisung wird geschrieben vom Chef, aber solange diese nicht an die Mitarbeiter verteilt wird .... :)

[crack24 10]

Ok das macht Sinn :)  Jetzt funktioniert es auch. Meine erste Gruppenrichtlinie. Danke für eure Hilfe.

[Sunny61 773]

Meine erste Gruppenrichtlinie. Danke für eure Hilfe.

Dann solltest Du dir diese Artikel zu Gemüte führen: http://www.gruppenrichtlinien.de/erste-schritte/datum/ Der Rest der Seite ist für die Zukunft interessant. ;)

[crack24 10]

Dann habe ich jetzt eine Lektüre für heute abend ;)

 

Kann man noch irgendwie verhindern, dass die die jetzt lokale Administratoren sind, ihre IP Adresse umstellen?

[NorbertFe 1.837]

Nein. Admin ist Admin.

 

bye

Norbert