Rechner in Domäne hinzufügen ohne Admin-Rechte

[void_pointer 10]

Hallo,

 

gibt es eine Möglichkeit einem User das Recht zu geben Rechner in die Domäne hinzufügen ohne diesem Admin-Rechte zu gewähren?

 

Gruß

void*

[DerLars 10]

hm soweit ich mich erinner kann jeder authentifizierte User Rechner in die Dom aufnehmen, ausser es is per GPO untersagt.

[robotto7831a 10]

Ab Windows 2000 kann jeder Benutzer 10 Rechner in die Domäne aufnehmen.

 

Frank

[grizzly999 11]

Korrekt, standardmäßig ist dieses Recht in der Default Domain Controller Policy gesetzt. Die Anzahl 10 ist dabei hardcodiert und kann nicht geändert werden.

 

 

grizzly999

[void_pointer 10]

Hallo,

 

danke für die Antworten.

 

Was passiert aber beim elften Rechner, wenn der Benutzer bereits zehn in die Domäne gehieft hat? Geht es dann einfach nicht mehr? Dazu müsster er dann Admin sein?

 

Gruß

void*

[blub 115]

Hi,

Man kann das Recht "create computer accounts" genauso wie "delete computer accounts" auch an bestimmte User für bestimmte OUs delegieren. Hab gerade keinen DC vor mir, aber wir machen das in unserer Domäne ganz genauso

 

cu

blub

[grizzly999 11]

Hi,

Man kann das Recht "create computer accounts" genauso wie "delete computer accounts" auch an bestimmte User für bestimmte OUs delegieren. Hab gerade keinen DC vor mir, aber wir machen das in unserer Domäne ganz genauso

 

cu

blub

Ja, das natürlicj zusätzlich zum serienmäßigen Recht ;)

 

@void_pointer: ja, es kommt eine Fehlermeldung: http://support.microsoft.com/kb/314462/de

 

grizzly999

[void_pointer 10]

Danke Euch.Jetzt klappt es wie gewünscht.

[void_pointer 10]

Hallo,

 

es funktioniert leider doch noch nicht ganz. Ich hatte das ganze mit einem Benutzer getestet, der Berechtigungen der Admin-Gruppe geerbt hatte... :rolleyes:

 

Folgendes habe ich nun gemacht:

1. Eine Gruppe Domänen-Computer-Admins angelegt

2. Der Gruppe die Rechte zugewiesen: Create Computer Objects, Delete Computer Objects (Die Berechtigungen werden an Untergeordnete Objekte vererbt).

3. Den Benutzer der Gruppe hinzugefügt, der diese Aufgabe erfüllen soll. Wenn man die Effektiven Berechtigungen prüft, hat Benutzer nun auch das gewünschte Recht.

 

Beim Versuch einen Rechner mit diesem Account in die Domäne zu hiefen, kommt jetzt aber Zugriff verweigert. Es hat auch nicht geholfen, dem Benutzer die Rechte direkt zu geben.

 

Was mache ich noch falsch bzw. was muß ich noch tun?

 

Gruß

void*

[ChristianHemker 10]

Du könntest vorher die Computerkonten in der Domäne anlegen. Solange der Benutzer dann auf dem lokalen Rechner Admin Rechte hat dürfte er ihn in die Domäne hängen (Auch mehr als 10).

[the_brayn 10]

Hiho,

 

Rechtsklick auf "Deine Domäne" im AD Benutzer und Computer -> Delegate Control(Verwaltung delegieren oder so) -> durch Assistenten klicken.

 

Gruß Guido

[Das Urmel 10]

Korrekt, standardmäßig ist dieses Recht in der Default Domain Controller Policy gesetzt. Die Anzahl 10 ist dabei hardcodiert und kann nicht geändert werden.

 

 

grizzly999

 

Moin Grizzly999,

deine Aussage möchtest du unter Umständen relativieren?

Die ist so nicht korrekt, kann völlig denied werden, oder eben heraufgesetzt werden.

Folgedessen ist es änderbar. ;)

Artikel KB dazu

Methode 3 erläutert das.

[void_pointer 10]

Hallo,

 

auch nach der Konfiguration mit dem Assistenten kommt immer die Fehlermeldung "Zugriff verweigert" wenn ich versuche einen Computer mit diesem Benutzer in Domäne zu holen. Bei den Berechtigung steht aber nach wievor die Berechtigung für diesen Nutzer als gewährt... Ich verstehe das Problem nicht.

 

Gruß

void*

[zahni 587]

Ich denke mal, dass der aktuelle lokale Benutzer lokale Adminrecht braucht.

 

 

Allerdings würde ich das generall nicht machen.

 

Wenn Du schreibst, was du machen willst, gibt es event. noch andere Lösungen.

 

-Zahni

[void_pointer 10]

Hallo,

 

lokal am Test-PC bin ich als Administrator angemeldet. Dann versuche ich den Rechner mit dem Benutzer xyz in die Domäne zu holen. xyz hat das Recht Computer Objekt erstellen in dieser Domäne. Trotzdem kommt "Zugriff verweigert".

 

Gruß

void*