Legge en gruppe inn i administrators lokalt

[longarmstrong]

Jeg lurer på om det er noen her som vet hvordan man kan få lagt inn en gruppe opprettet i AD inn i den lokale 'administrators' gruppen på en klient. Slik at alle i gruppen som skal legges til får lokale administrator rettigheter på klienten.

 

Har fagprøve denne uka

 

 

Server kjører Windows server 2003.

Klienten kjører Windows XP.

[Gjest Slettet-t8fn5F]

Tror ikke det går fordi lokale rettigheter på en maskin ikke kan styres via AD, men det går ann på en maskin å sette at alle godkjente brukere er medlem av lokal administrator, men som sagt, ikke helt sikker her nå...

[longarmstrong]

Tenkte kanskje man kunne legge noe i logon skriptet som la til gruppen jeg har kalt 'ansatte' i AD inn i 'administrators' lokalt på klienten.

 

Får titte litt på nettet

[Gjest Slettet-t8fn5F]

Si fra hvis du finner noe og legge svar i denne tråden.

På generell basis så er jo lokale innstillinger slike som er når man ikke logger seg på domenet, men lokalt på maskinen.

Firmaet jeg jobbet i brukte å legge gokjente brukere som medlemmer av lokal administrator gruppen før vi meldte maskinen inn i domenet.

Det er jo en slik lokal policy som kan være vanlig å bruke der man har laptopper som ikke hele tiden er koblet til LAN'et. Samtidig så er jo det litt usikkerhet ved at bruker kan innstalere alt av programmer han måtte ønske og kan potesielt kludre til LAN'et med spyware og slikt...

[Kenny Bones]

Dette er da vel fult mulig vel? Hva skjer om du legger gruppen inn i "Administrators" da?

Vil ikke det påvirke den lokale maskinen? Hvis ikke, kan du sikkert bruke en script som forandrer eller oppretter en bruker automatisk utifra din AD-bruker.

 

Du kan også kanskje se på scriptet jeg har lagt ved på en annen tråd her. Mulig det kan hjelpe.

 

http://forum.hardware.no/index.php?showtopic=422973

[darkness|]

Du kan gjøre dette via AD (manuelt)

 

Finn gruppen computers, høyreklikk på PC'en, klikk på manage. Du kan da legge til gruppen under local admin akkurat som om du satt på klientmaskinen.

 

Det skal gå an å scriptes, men jeg tror det er litt mer komplisert

[Wraith]

Det skal visst være mulig via "restricted groups" i group policies (computer configuration -> windows settings -> security settings -> restricted groups), men jeg har aldri prøvd noe på dette selv, så vil gjerne høre fra deg om resultatet :-)

 

offtopic: lykke til med fagprøva

satser på at det er IKT-driftsfag? min er neste uke

Endret 30. mai 2005 av Wraith

[longarmstrong]

Takker for svar!

Skal teste det som dere foreslår, kommer tilbake med svar.

 

Fikk idag klokken 0800 fagprøven utlevert. Jeg og to andre kandidater her skal ha den samtidig.

Nettopp sendt inn planen for uken, så nå bærer det løs med installasjon, konfigurasjon og systemdokumentasjon!

[roac]

Det skal visst være mulig via "restricted groups" i group policies (computer configuration -> windows settings -> security settings -> restricted groups), men jeg har aldri prøvd noe på dette selv, så vil gjerne høre fra deg om resultatet :-)

Korrekt, og restricted groups fungerer aldeles utmerket. (Selv om det ikke var meg du ba om den informasjonen fra)

[kamus]

Her er muligens en side som kan hjelpe til litt. Funket ihvertfall greit for meg.

Endret 31. mai 2005 av kamus

[Wraith]

Det skal visst være mulig via "restricted groups" i group policies (computer configuration -> windows settings -> security settings -> restricted groups), men jeg har aldri prøvd noe på dette selv, så vil gjerne høre fra deg om resultatet :-)

Korrekt, og restricted groups fungerer aldeles utmerket. (Selv om det ikke var meg du ba om den informasjonen fra)

Dette må settes på GPO'en for selve maskina ikke sant?

[roac]

Det skal visst være mulig via "restricted groups" i group policies (computer configuration -> windows settings -> security settings -> restricted groups), men jeg har aldri prøvd noe på dette selv, så vil gjerne høre fra deg om resultatet :-)

Korrekt, og restricted groups fungerer aldeles utmerket. (Selv om det ikke var meg du ba om den informasjonen fra)

Dette må settes på GPO'en for selve maskina ikke sant?

Denne settes under Computer Settings, ja. Hvor GPOen linkes i AD avhenger av hvilke maskiner du ønsker at skal få innstillingene. Noen alternativer er på site-nivå, på domene-nivå eller på et OU (Så maskinkontoen til den/de maskinene som skal ha innstillingene er i OUet).

[longarmstrong]

Tusen takk for hjelpen!

Det fungerte knirkefritt.

 

Dokumentasjonen ble oversendt pr. mail idag klokken 1600, i morgen braker det løs med presentasjon. Hele løsningen fungerer knirkefritt, så jeg tror dette går bra

[darkness|]

Du brukte GPO?