10
Dienstuser mit Domänenadminrechten einichten
Hallo,
wie kann ich einem Benutzer mit Domänenadminrechten die Anmeldung an den Serversystemen verweigern?
Wir wollen alle Adminpaßwörter ändern weil ein Mitarbeiter keinen Zugriff mehr auf die EDV haben sollen.
Da einige Benutzer nur als Dienst benötigt werden wäre die Idee diesen die Anmeldung am Windows System zu verweigern.
Geht das?
Gruß,
Chris
wie kann ich einem Benutzer mit Domänenadminrechten die Anmeldung an den Serversystemen verweigern?
Wir wollen alle Adminpaßwörter ändern weil ein Mitarbeiter keinen Zugriff mehr auf die EDV haben sollen.
Da einige Benutzer nur als Dienst benötigt werden wäre die Idee diesen die Anmeldung am Windows System zu verweigern.
Geht das?
Gruß,
Chris
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 267530
Url: https://administrator.de/contentid/267530
Printed on: April 26, 2024 at 09:04 o'clock
10 Comments
Latest comment
Hi
du kannst in dem Reiter "Konto" von den Eigenschaften des User Objektes im AD, festlegen an welchen Systemen sich der Dienst anmelden kann/darf, damit kannst zielgerecht steuern dass sich der entsprechende Dienst auch nur an den dafür vorgesehenen Systemen anmelden kann.
Gruß
clSchak
du kannst in dem Reiter "Konto" von den Eigenschaften des User Objektes im AD, festlegen an welchen Systemen sich der Dienst anmelden kann/darf, damit kannst zielgerecht steuern dass sich der entsprechende Dienst auch nur an den dafür vorgesehenen Systemen anmelden kann.
Gruß
clSchak
Danke für die Info! Aber kann man nicht einem Konto verbieten sich als User anzumelden über RDP. Falls nämlich ein Benutzer im Haus ein Paßwort weiß könnte er sich damit anmelden. Wie gesagt die Idee wäre dass es reine Dienstbenutzer geben soll.
Nein, der muss ja in der Gruppe Remotedesktopuser sein, ansonsten geht das nicht, es reicht dafür in der Regel nicht aus als Domänen admin eingetragen zu sein, es sei denn ihr habt gpos die das so einstellen, ansonsten muss der Benutzer in die Gruppe eingetragen werden.
Hi.
Man nimmt keine Domänenadmins für Dienste. Was brachte Euch dazu, es ist sehr gefährlich?
Nimm entweder Dienstekonten (Domänen ab 2008 R2 ermöglichen das), oder nutze das Systemkonto - auch dieses kann im Netzwerk handeln.
Man nimmt keine Domänenadmins für Dienste. Was brachte Euch dazu, es ist sehr gefährlich?
Nimm entweder Dienstekonten (Domänen ab 2008 R2 ermöglichen das), oder nutze das Systemkonto - auch dieses kann im Netzwerk handeln.
Schau Dir mal http://www.andysblog.de/windows-lokale-benutzeranmeldung-verhindern an. Wenn Du das nicht wie dort beschrieben in der lokalen Gruppenrichtlinie machst, sondern in der Default Domain Policy, dann hast Du vermutlich, was Du brauchst.
ABER pass auf, dass Du Dich nicht selbst aussperrst ;)
ABER pass auf, dass Du Dich nicht selbst aussperrst ;)
Manche Hersteller bestehen auf Domänenadmins...da sind mir die Hände gebunden..
Habe jetzt die Anmeldung von allen Admins erstmal über RDP gesperrt.
Moin.
Manche Hersteller bestehen auf Domänenadmins...da sind mir die Hände gebunden..
Das ist kompletter Unsinn (von denen) - kein Vorteil und nur riesige Sicherheits-NachteileHabe jetzt die Anmeldung von allen Admins erstmal über RDP gesperrt.
Das ist noch nicht genug. Netzwerkanmeldungen (Remote Shell und Konsorten) musst Du dann auch firewallseitig sperren.Zitat von @DerWoWusste:
> Manche Hersteller bestehen auf Domänenadmins...da sind mir die Hände gebunden..
Das ist kompletter Unsinn (von denen) - kein Vorteil und nur riesige Sicherheits-Nachteile
> Manche Hersteller bestehen auf Domänenadmins...da sind mir die Hände gebunden..
Das ist kompletter Unsinn (von denen) - kein Vorteil und nur riesige Sicherheits-Nachteile
Was ja nichts daran ändert, dass es so ist und dass man als User der entsprechenden Programme damit umgehen muss ...
Aha. Du meinst, man kann das Programm nicht betreiben, wenn man es richtig macht und keinen Domänenadmin nimmt? Dafür gibt es keinen Grund. Oder meinst Du, dass man dann keinen Support bekommt, wenn man es richtig macht? Das könnte natürlich sein.