Thema "Hauptbenutzer"

[delta544 10]

Ich lese in den Prüfungsvorbereitungen immer wieder das ich einem bestimmten Benutzer zum "Hauptbenutzer" machen soll und das obwohl man sich in einer 2003 AD Umgebung befindet. WIE zum Henker mache ich jemanden zum "Hauptbenutzer" wenn es diese Benutzergrupper in einer 2003 AD gar nicht gibt?????

 

 

gruss

delta544

[d.stegemann 10]

Hallo delta544,

 

In einer AD Umgebung auf einem Memberserver oder einer Workstation sollte es diese Gruppe doch schon geben...

 

Vielleicht gibst du einfach mal ein Beispiel...

 

Gruß

 

Dirk

[RobertCraven 10]

Hallo,

 

die Gruppe "Hauptbenutzer" ist eine lokale Gruppe. Diese findest Du nicht in der AD. Nur in der lokalen Benutzerverwaltung von Clients und Memberserver.

 

Grüße

Robert Craven

[delta544 10]

OK, da kommen manchmal Fragen wie: Hansi ist Mitglied der Gruppe Hauptbenutzer und soll mir, dem Admin der AD contoso.com helfen, 200 Rechner in die Domäne aufzunehmen, aber eine Richtlinie schreibt vor dass das nur mit minimalen Rechten über die Bühne gehen soll.

 

Da Frag ich mich jedesmal: Wie hat dieser Teufelskerl es geschafft in der Gruppe der Haupbenutzer zu kommen, die es ja gar nicht mehr gibt in der AD.

 

Jetzt glänze ich mal mit "Halbwissen":

Nach meinem bisherigen Kentnisstand geht die Gruppe der Hauptbenutzer "verloren" sobald:

a) mein Win2K3 Server die AD hat

b) andere Server der AD beitreten

c) Clientrechner der AD beitreten

 

Auf meinem Win2K3 Enterprise (Eval, AD Domaincontroller) Server habe ich gar keine "lokalen" Benutzer mehr sonder nur noch AD Benutzer und ich kann auch keine Benutzer über die "lokale" Verwaltung sehen, geschweige denn anlegen, und ich bin mir ziemlich sicher das dasselbe für z.b. WinXP Client Rechner gilt sobald sie in der AD aufgenommen worden sind.

 

Mein 2.ter Win2K3 Server den ich gestern neu aufgesetzt habe und noch keine weitere Konfiguration hat, hat aber noch die lokale Gruppe "Hauptbenutzer", aber wenn ich den in die Domäne aufnehmen würde, hätte ich zwar meinen "Mitgliedsserver" aber müsste dann nicht auch die Gruppe wieder verschwinden so wie das bei einem Clientrechner der Fall wäre??

 

 

gruss

delta544

[olc 18]

Hi,

 

man kann in einigen Dialogen die "Hauptbenutzer" direkt angeben, ohne daß eine Auflösung der SID erfolgt, sondern der Name selbst in die entsprechende "GptTmpl.inf" geschrieben wird. Das ist nur in Ausnahmefällen empfehlenswert, funktioniert grundsätzlich aber erst einmal (noch).

 

Ansonsten kann natürlich in der AD ein Account namens "Hauptbenutzer" angelegt werden, der dann jedoch nichts mit dem klassischen lokalen Hauptbenutzer zu tun hat.

 

Außer auf DCs sind Hauptbenutzer in den lokalen Sicherheitsdatenbanken der Domänenmitgliedern weiterhin vorhanden - um welche "administrativ unterstützenden Tätigkeiten" handelt es sich denn, die Du da angesprochen hast?

 

Viele Grüße

olc

[delta544 10]

Naja, wie ich schon sagte, in der Fragenstellung heisst es nur, man wäre der Administrator der Domäne contoso.com und es sollen 200 Rechner der Domäne hinzugefügt werden. Dafür würde man einen Benutzer heranziehen mit einem X-beliebigen Namen, und dieser Benutzer würde der Gruppe Hauptbenutzer angehören. Eine Firmenrichtlinie würde aber fordern das man dem Benutzer ebend mit möglichst wenig Rechten ausstatten soll damit er ebend diese Rechner in die Domäne einpflegen kann.

 

Die entsprechende Antwort ist ebend ein entsprechendes GPO das man entwirft und anwendet.

[d.stegemann 10]

Da Frag ich mich jedesmal: Wie hat dieser Teufelskerl es geschafft in der Gruppe der Haupbenutzer zu kommen, die es ja gar nicht mehr gibt in der AD.

 

Jetzt glänze ich mal mit "Halbwissen":

Nach meinem bisherigen Kentnisstand geht die Gruppe der Hauptbenutzer "verloren" sobald:

a) mein Win2K3 Server die AD hat

b) andere Server der AD beitreten

c) Clientrechner der AD beitreten

 

 

nur weil ein Rechner eine Domäne beitritt geht noch lange nicht die lokale SAM verloren...

 

Aber das hat olc ja schon erwähnt.

 

Ich denke das ist alles schon mit Absicht so geschrieben, damit ein klein wenig Verwirrung aufkommt ;)

 

In manchen Fällen ist aber auch ein lokaler Account die richtige Wahl. Das hängt halt ganz von der Frage ab...

 

Gruß

 

Dirk

[delta544 10]

Sooooo, also ich bin völlig von den Socken. Hab mir heute mal alle möglichen Kombinationen an Client/Serversystemen angeschaut und Herr Stegemann hat recht. Auf Clientrechner bleiben die "lokalen" Hauptbenutzergruppe erhalten und verwendbar.

gruss

Andreas

[zahni 554]

Wobei ich bis heute nicht weiss, wozu diese Gruppe gut ist. Habe ich noch nie benutzt. Entweder Admin oder Benutzerrechte...

 

-Zahni

[Dukel 454]

Hauptbenutzer kann etwas mehr als Benutzer.

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

 

Bei Vista hat der Benutzer die gleichen Rechte wie der (WinXP-)Hauptbenutzer.