Adminrechte ohne Domänen-Admin

Hallo,
wie kann ich einem normalen Benutzer Adminrechte geben, ohne das ich ihm gleich Domänen-Admin rechte geben muss.

Er soll auf allen Client-PC's z.B. Treiber, Updates etc. installieren dürfen/können. Kann ja nicht auf 100 Clients ihn als lokalen Admin eintragen.. (WIN2003-Server, ActiveDirectory, XP-Clietnts=
Danke
LG Nicole

Please also mark the comments that contributed to the solution of the article

Content-Key: 146262

Url: https://administrator.de/contentid/146262

Printed on: April 19, 2024 at 17:04 o'clock

6 Comments

Latest comment

Könntest eine GPO bauen in der du die Lokalen Gruppen bearbeitest.
Unter einer Win2003-Domäne mit Richtlinienerweiterung (durch vista oder win7) kannst du das wie folgt einstellen:

GPO anlegen
Computerkonfig. --> Einstellungen --> Systemsteuerungseisntellungen --> Lokale Benutzer und Gruppen --> Gruppe Administratoren
Einstellungen:

Aktion: Aktualisieren
Gruppenname: Administratoren
Mitglieder: dein Benutzername

... wobei ich es (zumindest für die genannten Zwecke) sinnvoll fände, zB eine AD-Gruppe "Admins_Lokal" der lokalen "Administratoren"-Gruppe hinzuzufügen - damit können dann sehr flexibel einzelnen Usern (durch Mitgliedschaft zur AD-Gruppe oder Entzug ersterer) lokale Admin-Rechte erteilt bzw entzogen werden ...

Grüße
bastla

Was dann auch dem Microsoftschen Modell der Rechtezuweisung entgegen kommt

Zitat von @manuel-r:

Was dann auch dem Microsoftschen Modell der Rechtezuweisung entgegen kommt

Wobei sich unser Herr/Frau Toxic sehr viel Mühe gibt - dass seine Kommentare auch seinen Nic wiederspiegeln in den falschen Händen - höchstgiftig

z.B. Treiber, Updates etc. installieren dürfen/können.

Es gibt keinen Unterschied, ob jemand Software oder Treiber installieren kann - von daher ist die Frage ansich (der gewünschte Trampelpfad zum Ziel) schon extrem zweifelhaft.

Updates installiert der echte Admin und wenn es der nicht macht - installiert und konfiguriert der halt einen WSUS.
Treiber prüft der gleiche und stellt die den Systemen zur Verfügung - da muß kein ~~kneipen~~lokal Admin irgendwas anstellen.

Von daher die AD und alles drumherum einmal ordentlich aufgesetzt und gepflegt - läuft das von alleine.

Gruß

Herr Toxic bitte ;)

Natürlich, alles von vornherein "perfekt" einzurichten ist auch für mich der einzig sinnvolle weg. Die Frage habe ich aber trotzdem beantwortet :-P

Evtl. kann man aber solch ein Szenario für IT-Praktikanten oder ähnliches nutzen, die nur für eine bestimmte Zeit auf den Clients Admin-Rechte haben sollen.
Ist die Zeit rum, nimmt man Sie einfach aus der AD-Gruppe.

> Zitat von @manuel-r:

Updates installiert der echte Admin und wenn es der nicht macht - installiert und konfiguriert der halt einen WSUS.
Treiber prüft der gleiche und stellt die den Systemen zur Verfügung - da muß kein ~~kneipen~~lokal Admin

irgendwas anstellen.

Morgen TimoBeil,
stimmt zwar für die gebrachten Beispiele aber es gibt noch andere Gründe, lokale Admins zu dulden:
-Entwickler
-Geräte, die sich ohne admin-Rechte nicht anschließen/einrichten lassen
-etc.

Von daher die AD und alles drumherum einmal ordentlich aufgesetzt und gepflegt - läuft das von alleine.

Bin ich deiner Meinung, aber wie immer im Leben klappt nicht alles von alleine.