Usern lokale Adminrechte nehmen

[findus 10]

Hallo!

 

In unserer Win2000 Domain mit AD haben alle User standardmäßig lokal auf ihren PCs Benutzerrechte, und das soll auch so sein, da sich die sonst verselbständigen und alles herunterladen und installieren.

 

Nun hat meine Urlaubsvertretung in ihrem Übermut den Usern lokal teilweise Administratorrechte gegeben. Wie kriege ich die wieder weg?

 

Die Adminrechte haben sie folgendermaßen bekommen: Arbeitsplatz - Computername - Netzwerkkennung - dann den Assistenten durchklicken - bei Benutzername den Benutzernamen und das PW des lokalen Users - bei der folgenden (Fehler)meldung Benutzernamen und PW des Domainadministrators - folgenden Benutzer hinzufügen: Administrator - Computer neu starten, fertig

 

Wenn man nun unter Computerverwaltung - lokale Benutzer oder Gruppen hineinschaut, scheint nirgendswo auf, daß der betreffende User lokale Adminrechte hat. Und natürlich unter ActiveDirectory Benutzer und Computer auch nicht. Der User hat aber dann lokal Adminrechte und auf Domänenebene nur die ihm zugeteilten Benutzerrechte

 

Kennt jemand eine Lösung, wie man trotzdem die Berechtigungen 1. auslesen und 2. wieder eintfernen kann, ohne das Password des Users zu kennen? Denn das ist ja auch der springende Punkt: um dem User lokale Adminrechte zu geben, brauch ich das UserPW.

 

danke für eure Hilfe, lau

[grizzly999 11]

Frage am Rande: inwiefern hat der User lokale Adminrechte? Ich war immer der Meinung, er hat das nur, wenn er in der Grippe der Administratoren ist.

 

grizzly999

[Gast fusselkopp]

hmmm, den vorgang den du schilderst nutzt man im allgemeinen um den rechner in eine domäne zu bringen...

 

berechtigungen auslesen geht über arbeitsplatz ---> verwalten ---> lokale benutzer und gruppen ---> gruppen ---> gruppe der administratoren. entweder stehen sie da drin, oder dort steht eine gruppe drin, in der sie drinstehen.

 

die rechte setzt du folgendermaßen zurück: ad benutzer und computer ----> eigenschaften der für die user geltenden policy ---> computerkonfiguration ---> windows-einstellungen ---> sicherheitseinstellungen ---> eingeschränke gruppen.

 

dort die gruppe administratoren anlegen, und nur die user eintragen die lokal administratoren sein sollen, also meistens der lokale admin und die domänen-admins

 

gruß,

fusselkopp