Welche Zugriffsrechte bei Mitgliedschaft der "Default Domain Policy"?

[Microdemis 10]

Hallo und frohe Weihnachten ans Board,

 

ich habe eine Frage zur Gruppenmitgliedschaft in einem AD. Zum Einsatz kommt ein AD2000, als Clients W2k und XP (Pro), wo alle User zusätzlich über lokale Administratorenrechte verfügen - ihren Rechner also auch verunstalten können. Ich prüfe nun die Möglichkeiten (und Risiken), ihnen diese Rechte zu entziehen - und dabei stellt sich mir die Frage, was die User auf dem lokalen Rechner noch dürfen, wenn nur die "Default Domain Policy" greift.

 

Kann man das Vergleichen mit einem Status wie "Benutzer" oder "Hauptbenutzer"?

 

Für jeden (Literatur-) Hinweis bin ich dankbar!

 

Andre

[grizzly999 11]

Die Default Domain Policy setzt nur Kontenrichtlinien und ein paar öffentliche Schlüsselsachen, und was für RIS.

D.h., wenn die Benutzer nicht mehr lokale Administratoren sind, dürfen sie nicht weniger oder nicht mehr als ohne die Domänenrichtline. Sie sind dann halt Benutzer, oder Hauptbenutzer, oder wo immer du sie lokal rein steckst.

 

 

grizzly999

[lefg 276]

Hallo und fröhliche Weihnachten,

 

ich habe den Eindruck, es werden zwei Begriffe vermischt: Die Gruppenmitgliedschaft und die Gruppenrichtline. Das sind verschiedene paar Schuhe.

Benutzer sind Mitglieder einer oder mehrerer Gruppen. Die Gruppenrichtlinie hat damit nichts zu tun.

Die Gruppenrichtlinie Default Domain Policy wirkt auf alle alle Elemente des AD.

Weiter können Organisationeinheiten erstellt werden. Darin können Benutzer, Computer etc. zusammengefasst werden. Darauf kann die DDP wirken und/oder eine extra Richtlinie.

Die Richtline greift, so ein Computer Mitglied der Domäne ist und der DNS funktionsfähig ist. Wirkungen auf Domänenmitglieder zeigen sich erst, wenn die Richtlinie(n) verändert werden.

 

 

Gruß

Edgar

[lefg 276]

Das hat etwas länger gedauert bei mir. Ich musste zwischendurch arbeiten.

[Microdemis 10]

Hallo,

 

@ Grizly und Edgar:

Vielen Dank für die Hinweise soweit. Dann habe ich Gruppenmitgliedschaft und -Richtlinie tatsächlich etwas schwammig gebraucht.

 

Wenn ich die Nutzer aus den lokalen Administratoren rausnehme und keine weitere Konfiguration vornehme, in welcher Gruppe landen sie dann?

 

Wo kann ich das beeinflussen und wie überprüfen?

 

Vielen Dank.

 

Andre

[grizzly999 11]

Wenn es Domänenbenutzer sind, dann sind sie danach in genau dieser Gruppe. Dazu musst du in der AD in den Eigenschaften eines Benutzers die Gruppenmitgliedschaften anschauen.

 

 

grizzly999

[Microdemis 10]

Vielen Dank für die Antworten, damit komme ich schon ein ganzes Stück weiter.

 

Ein letztes vielleicht noch:

Welche Rechte hat ein Domänenbenutzer auf seinem lokalen System? Wie kann ich das prüfen und ggfs. einschränken?

 

Andre