Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Benutzer aufgaben Delegieren zum erstellen von Konten bzw. Kennwort zurücksetzen

Frage Microsoft Windows Netzwerk

Mitglied: lorenzstraus

lorenzstraus (Level 1) - Jetzt verbinden

13.01.2011 um 11:01 Uhr, 4543 Aufrufe, 3 Kommentare

Was muss ich einstellen damit User dies dürfen bzw. können.

Hallo, ich habe ein kleines Problem.

Wir haben einen Windows Server 2003 mit XP-Clients.

Ich möchte das ein Benutzer von einem sehr abgespektem Konto (z. B. Benutzername: "Benuter anlegen") Kontos anlegen und Kennwörter zurücksetzen dürfen.

Mit anderen Worten:

Ein rechner besitzt das AdminPack.
Es gibt ein einziges Konto wo nix weiter gemacht wird, wie Kennwörter der Mitarbeiter zurückzusetzen oder mal einen Benutzer anzulegen.

Mein Problem ist:
Wenn ich dieser Gruppe/Benutzer das delegiere, kann er Benutzer erstellen, Kennwörter zurücksetzen, alles Mögliche ändern und Benutzer Löschen. Das ganze kann er leider überall, inkl Domänen Admins. Außer bei Benutzer der Administratoren.

Ich möchte aber das man von diesem Konto, nur folgende sachen darf.

Administratoren: nix
Domänen-Admins: nix
Gruppe "Benutzer xxx" nix
Gruppe "Benutzer yyy" Kennwort ändern/zurücksetzen, Benutzer Aktivieren / Deaktivieren, Benutzer erstellen (automatisch in Gruppe "yyy")
Sämtliche einstellungen (egal ob "yyy" oder "xxx" sollen nicht verändert werden können (Netzlaufwerk, Anmeldezeiten, Anmelden an...)
Er darf keine Benutzer Löschen können, egal welcher Gruppe er angehört. Erstellen JA Löschen NEIN.

Ich habe schon viele Häckchen probiert bei dem Delegieren, allerdings bekomm ich oft Fehlermeldungen beim Erstellen von Benutzern. Das Deaktivieren bzw. Aktivieren von Benutzern klappt fast immer. Leider auch bei anderen Gruppen wo es nicht gehen soll.

Das Konto was ich dafür habe, habe ich über die Gruppenrichtlinie so weit abgespeckt, dass man nur DAS machen kann. keine Programme, Internet, Festplattenzugriff...

Ich hoffe ich habe das verständlich geschrieben. Weiß nicht wie ich es Erklären soll.
Mitglied: 60730
13.01.2011 um 11:33 Uhr
moin,

denkansätze

ich würde

  • dem User das Admin Pack wieder wegnehmen
  • den als Verwalter in die OU reinstecken, wo er fuhrwerken darf
  • für jeden der gewünschten Zwecke in der AD ein Script bauen, das sich primär um Varianten des Befehls

  • net user password /domain
  • net user password /domain /add

handelt. Und am besten das ganze via >>logfile.ini - damit es einen Nachweis gibt.

Das ist "etwas" sichereranderes, als die Keule mit dem großen mmc Werkzeug.
Und du kannst - eher davon ausgehen, dass er nur das machen kann, was du Ihm aufgetragen hast.
Mißbrauch ist so zwar nicht ausgeschlossen, aber du kannst sicherer sein, dass nur dann ein User angelegt wird - wenn alle nötigen Felder ausgefüllt sind. (das meine ich mit "sicher" - nicht sicher im Sinne von Sicherheit)


Gruß
Bitte warten ..
Mitglied: lorenzstraus
13.01.2011 um 11:59 Uhr
Zitat von 60730:
moin,

denkansätze

ich würde

  • dem User das Admin Pack wieder wegnehmen
  • den als Verwalter in die OU reinstecken, wo er fuhrwerken darf
in welche Gruppe soll ich den Benutzer stecken? Gibt es eine Gruppe namens "Verwalter"?
* für jeden der gewünschten Zwecke in der AD ein Script bauen, das sich primär um Varianten des Befehls
gibt es irgendwo eine Liste mit befehlen, also net user password /domein ist für Password... aber wo finde ich die Anderen?

  • net user password /domain
  • net user password /domain /add

handelt. Und am besten das ganze via >>logfile.ini - damit es einen Nachweis gibt.

Das ist "etwas" sichereranderes, als die Keule mit dem großen mmc Werkzeug.
Und du kannst - eher davon ausgehen, dass er nur das machen kann, was du Ihm aufgetragen hast.
Mißbrauch ist so zwar nicht ausgeschlossen, aber du kannst sicherer sein, dass nur dann ein User angelegt wird - wenn alle
nötigen Felder ausgefüllt sind. (das meine ich mit "sicher" - nicht sicher im Sinne von Sicherheit)

Wie erstellt dann der Benutzer die Benutzer bzw. Sperrt User? Soll ich mir da eine Eingabemaske bauen, oder gibts da ein Tool außer dem Adminpack?

vielen Dank
Bitte warten ..
Mitglied: Logan000
13.01.2011 um 13:30 Uhr
Moin Moin

gibt es irgendwo eine Liste mit befehlen, also net user password /domein ist für Password... aber wo finde ich die Anderen?
äh, Net User /?

Soll ich mir da eine Eingabemaske bauen,
Wenn Du möchtest, aber mal kann Skripte doch auch mit Parametern versehen oder Eingaben abfragen lassen.

oder gibts da ein Tool außer dem Adminpack?
Die gibt es sicher nur leisten diese (im groben) genau das gleiche.
Du wirst wohl kein Tool finden das nur deinen individuellen Delegationsanforderungen entspricht.

Zum Thema Delegation gibts hier ein gutes HowTo: http://www.gruppenrichtlinien.de/index.html?/HowTo/Objektverwaltung.htm

Gruß L.
Bitte warten ..
Ähnliche Inhalte
Windows 10
gelöst Windows 10: Standardprofil für lokale und Domain-Konten erstellen

Frage von Wintektiv zum Thema Windows 10 ...

Batch & Shell
Mehrere AD Benutzer aus CSV Datei mit PowerShell erstellen (1)

Frage von windelterrorist zum Thema Batch & Shell ...

Outlook & Mail
Outlook 2016 - mehrere Konten - Ansicht Aufgabenleiste

Frage von Akira1 zum Thema Outlook & Mail ...

Windows Update
Wsusscn2.cab von lokalem WSUS erstellen? (1)

Frage von Coppelius zum Thema Windows Update ...

Neue Wissensbeiträge
Windows 10

Windows 8.x oder 10 Lizenz-Key aus dem ROM auslesen mit Linux

Tipp von Lochkartenstanzer zum Thema Windows 10 ...

Tipps & Tricks

Wie Hackt man sich am besten in ein Computernetzwerk ein

(38)

Erfahrungsbericht von Herbrich19 zum Thema Tipps & Tricks ...

Heiß diskutierte Inhalte
Festplatten, SSD, Raid
POS Hardware und alternativen zu Raid 1? (21)

Frage von Brotkasten zum Thema Festplatten, SSD, Raid ...

Viren und Trojaner
Verschlüsselungstrojaner simulieren (18)

Frage von AlbertMinrich zum Thema Viren und Trojaner ...

Ubuntu
gelöst Nextcloud 12 Antivirus App for Files (10)

Frage von horstvogel zum Thema Ubuntu ...

SAN, NAS, DAS
+100tb Storagelösung (10)

Frage von Data-Fabi zum Thema SAN, NAS, DAS ...