6
Neuer Domain Account fuer NICHT Domain Administratoren (Win Domain)
Hallo Freunde der bunten IT,
ich (Domain Admin) moechte ein paar neue Domain Accounts fuer
unsere Administratoren (nicht Domain Admins) erstellen mit welchen
sie sich auf Server verbinden und sie warten koennen. Auch sollen sie
Systemeinstellungen aendern koennen, Programme installieren,
Netzwerkeinstellungen aendern duerfen etc. Verbindung auf das
jeweilige System erfolgt zum groessten Teil per RDP.
Was waere nun der beste Weg? Sicherlich waere es am Besten eine
GPO mit den entsprechenden Systemen zu erstellen (dauert nur lang,
da fuer diese Abteilung ca. 150 System betroffen sein werden).
Gibt es nicht auch irgendeine sinnvolle Built-in Domain Gruppe die das
schneller loesen koennte? Sowas wie Server Operators oder
aehnliches?
Gruesse,
Steve
ich (Domain Admin) moechte ein paar neue Domain Accounts fuer
unsere Administratoren (nicht Domain Admins) erstellen mit welchen
sie sich auf Server verbinden und sie warten koennen. Auch sollen sie
Systemeinstellungen aendern koennen, Programme installieren,
Netzwerkeinstellungen aendern duerfen etc. Verbindung auf das
jeweilige System erfolgt zum groessten Teil per RDP.
Was waere nun der beste Weg? Sicherlich waere es am Besten eine
GPO mit den entsprechenden Systemen zu erstellen (dauert nur lang,
da fuer diese Abteilung ca. 150 System betroffen sein werden).
Gibt es nicht auch irgendeine sinnvolle Built-in Domain Gruppe die das
schneller loesen koennte? Sowas wie Server Operators oder
aehnliches?
Gruesse,
Steve
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 151482
Url: https://administrator.de/contentid/151482
Printed on: April 23, 2024 at 19:04 o'clock
6 Comments
Latest comment
Hallo
Bei den von dir beschriebenen Anforderungen, musst du die Benutzer wohl zu Administratoren auf dem Server machen. Ob ich das jetzt grundsätzlich für sinnvoll halte, vielenLeuten administrativen Zugriff auf eine solchen Vielzahl von Servern zu geben lasse ich mal dahin gestellt.
Frage ist, was dir eine Domänengruppe bringen würde ?! Die ist ja auch erst einmal nicht Mitglied in der Administratorengruppe.
Wieso also nicht eine Domänengruppe erstellen, die Leute da rein packen, die Server in eine Gruppe packen und eine GPO mit eingeschränkten Gruppen erstellen und die Richtlinienübernahme auf diese Gruppe mit den Servern beschränken.
Du wirst kaum daran vorbei kommen an irgendeiner Stelle die 150 Systeme mal zusammen suchen zu müssen
Gruß
Hubert
Bei den von dir beschriebenen Anforderungen, musst du die Benutzer wohl zu Administratoren auf dem Server machen. Ob ich das jetzt grundsätzlich für sinnvoll halte, vielenLeuten administrativen Zugriff auf eine solchen Vielzahl von Servern zu geben lasse ich mal dahin gestellt.
Frage ist, was dir eine Domänengruppe bringen würde ?! Die ist ja auch erst einmal nicht Mitglied in der Administratorengruppe.
Wieso also nicht eine Domänengruppe erstellen, die Leute da rein packen, die Server in eine Gruppe packen und eine GPO mit eingeschränkten Gruppen erstellen und die Richtlinienübernahme auf diese Gruppe mit den Servern beschränken.
Du wirst kaum daran vorbei kommen an irgendeiner Stelle die 150 Systeme mal zusammen suchen zu müssen
Gruß
Hubert
Hallo,
ich würde das auch mit GPO und Domänengruppen regeln. Dann hast du es später leichter, wenn Hilfsadmins ausscheiden oder dazu kommen.
Ich rate dir aber auch (ohne den Netz zu kennen), die Server für die Verwaltung logisch zu gruppieren und nicht allen Admins alle Server freizuschalten. Und aktiviere in jedem Fall eine Protokollierung der Aktivitäten...
Viel Erfolg, creyzee
ich würde das auch mit GPO und Domänengruppen regeln. Dann hast du es später leichter, wenn Hilfsadmins ausscheiden oder dazu kommen.
Ich rate dir aber auch (ohne den Netz zu kennen), die Server für die Verwaltung logisch zu gruppieren und nicht allen Admins alle Server freizuschalten. Und aktiviere in jedem Fall eine Protokollierung der Aktivitäten...
Viel Erfolg, creyzee
Super, vielen Dank schon mal!
Dann werde ich das so wie von euch vorgeschlagen machen, die Liste habe ich mittlerweile schon =)
Beste Gruesse!
Dann werde ich das so wie von euch vorgeschlagen machen, die Liste habe ich mittlerweile schon =)
Beste Gruesse!
ahja...
vergiss nicht auch dich als Domänen-Admin in die Richlinie aufzunehmen ;)
vergiss nicht auch dich als Domänen-Admin in die Richlinie aufzunehmen ;)
Warum meinst du? Da ich Domain Admin bin habe ich doch eh vollen Zugriff. Oder hat das etwas anderes auf sich?
Es scheint, als wäre mein Hinweis angebracht...
Wenn du die "Eingeschränkte Gruppe" ohne deine Wenigkeit definierst hast du die Rechte nicht mehr !!
Auszug aus www.gruppenrichtlinien.de :
So nett wie sich das anhört so gefährlich kann diese Option sein, denn die Einstellung der Eingeschränkten Gruppe ersetzt komplett die lokal vorhandene Konfiguration, bzw. entfernt ggfs. alle Benutzer aus der per Default vorhandenen Gruppe und setzt dort nur noch die Mitglieder ein, die auch in der Eingeschränkten Gruppe definiert sind, spätestens bei erneuter Anmeldung des Users, bzw. nach 90 Minuten, wenn die Sicherheitsrichtlinie per Default Verhalten an die Clients neu übermittelt wird
