Einen DomainCOntroller delegieren....

[JRotten 10]

Hallo.

 

Folgendes Möcht ich gern machen....

 

Ich hab einen Admin der OU Komplett warten Soll. Er sitzt in einer Niederlassung die Einen Großen Server mit dns, Dhcp, File und Print, Backup usw. drauf hat. Ausserdem ist der Server Domaincontroller meiner W2K3 Domäne.

 

Der Admin vor ort soll sich auf dem Server anmelden können, shares anlegen, rechte an User verteilen usw. Er soll auf den Eigenen Maschinen admin sein, er soll ev. dhcp reservierungen, anlegen können, und er soll die ou im AD komplett verwalten...

 

Und jetzt ist nur noch die Frage wie???

 

Wie würdet ihr vorgehn, worauf muss ich achten?

Dankbar für alle Tips...

herzlichst alx

[Velius 10]

Um auf dem Server anmelden zu können und basic Sachen wie Shares anlegen reicht "Server operators" und um DHCP zu Administrieren "DHCP Administrators", nur Authorisieren geht damit nicht, aber da gibt's Beiträge dazu im Forum.

 

Erzähl mal was du genau alles machen willst, bzw. der Delegierte machen können soll.

[JRotten 10]

Der User soll ja nicht auf allen Servern anmelden können sondern nur auf den Ihm Zugeordneten.

 

Nun von ganz vorn: Hauptsitz und 92 Niederlassungen. 6 Davon sind so groß dass sie einen Win Domaincontroller kriegen und der Jeweilige admin vor ort soll die Administrativen aufgaben soweit sie die User betreffen selbst erledigen....

 

Das heisst er soll userkonten in seiner OU anlegen und warten können, shares Freigeben und Rechte darauf setzen. In die NL kommt jeweils ein einziger starker Server mit allem.

 

Die Admins sollen sich also nur auf einem Speziellen Domaincontroller anmelden. auf allen Anderen Mitgliedsservern oder Domaincontrollern sollen sie dann aber keine Rechte haben und das ist irgendwo das Problem.

 

Ich hab keinen Dunst wie ich die Admins auf einen einzelnen Server (noch dazu DC) beschränken soll!!!

[Velius 10]

Ist doch peanuts! :)

 

Mach eine OU für jeden der DC's und verweigere den Admins, die nicht drauf sollen das Recht sich lokal anmelden zu dürfen. Wenn du dann noch über GPO die Benutzung der MMC's beschneidest, was soll dann noch passieren. ;)

 

 

Gruss

Velius

[JRotten 10]

Und die OU für die DCs...

mach ich die als unterordner von Doamin Controllers oder wie?

 

Was ist mit der Default domain controllers Policy?

Wie mach ich die Beschneidung der MMC's via GPO

 

und schon mal danke....

[Velius 10]

1. Unter OU's würde ich unterhalb der Domain Controllers machen, dann wird auch die default Domain controllers policy übernommen.

 

2. Ich würde nur die Rechte geben die nötig sind, also Server Operator und DHCP Admin lese ich da aus deinen Anforderungen heraus. Falls du genauer bescheid wissen musst was der Server Operator darf, gib bescheid. Im nächsten Schritt, was eigentlich dann nicht mehr notwendig ist, aber vielleicht nützlich sein kann, würde ich die verschiedenen MMC's abstellen. Zu finden ist das unter Benutzerkonfiguration/Administrative Vorlagen/Windows-Komponenten/Microsoft Management Console/Eingeschränkte/Zugelassene Snap-Ins

 

 

Gruss

Velius

[JRotten 10]

Damit bin ich jetzt mal beschäftigt....

 

 

Danke schön für die Hilfe: hat geholfen...