ReadOnlyDomainControler - lokale Admingruppe

[robweg 10]

Hallo,

 

ich teste momentan den W2k8 - RODC.

Ich habe gelesen das der RODC im Gegensatz zum normalen DC eine

lokale Admingruppe hat. Nun habe ich mit dsmgmt den User "testadmin1 "

zur lokalen Rolle der Administratoren zugeordnet.

 

In meiner Testdomäne habe ich aber außerdem noch eine GPO aktiv,

die auf allen Servern und Clients eine Gruppe namens "client-admins "

in die Gruppe der lokalen Administratoren hinzufügt.

 

Wenn ich nun auf dem RODC - Kommandozeile

via DSMGMT eintippe "...local roles: show role administrators "

erscheint nur der User "testadmin1 ".

 

Wenn ich aber "net localgroup administrators " eintippe erscheinen

zwei Einträge, ein "Administrator " und die Gruppe "client-admins " aus der

GPO, aber nicht der "testadmin1 ".

 

Was stimmt? Wer ist Admin auf der Kiste? Alle angezeigten?

Nur der clientadmin1?

 

Danke und Grüße,

 

rob

 

Update : Ich habe eben zum ersten mal festgestellt, das auch auf dem normalen DC -der ja keine separate lokale Admingruppe hat-, mit "net localgroup administrators " die "client-admins " aus der GPO als Mitglieder dieser ja eigentlich nicht vorhandenen Gruppe angezeigt werden. Kann mir das jemand erklären? :)

[NilsK 2.971]

Moin,

 

natürlich hat ein DC lokale Gruppen. Das sind die, die du im AD-Container "Builtin" findest. Die gelten für alle DCs gemeinsam.

 

Nur RODCs spielen eine Sonderrolle, weil sie für einen anderen Einsatzzweck entworfen wurden.

 

LDAP://Yusufs.Directory.Blog/ - Die Installation eines RODC

 

Gruß, Nils

[robweg 10]

mhm ich hatte da einen Denkfehler. Ich habe über meine GPO also der builtin\administratoren -Gruppe die "client-admins" hinzugefügt. Also ist dahingehend die Ausgabe von "net localgroup administrators" (auf dem DC ausgeführt) richtig, da sie mir die Mitglieder von builtin\administratoren anzeigt.

Danke schonmal soweit. :)

 

Aber was ist mit dem Account ("testadmin1") dem ich über DSMGMT die Adminrolle auf dem RODC zugewiesen habe?

Der erscheint nicht über "net localgroup administrators" weil er - obwohl er nun die Rolle lokaler Admin hat- gar nicht in die Gruppe builtin\administratoren aufgenommen wurde. Richtig?

 

Was ich nun noch nicht ganz kapiert habe:

 

- sind denn die Mitglieder von builtin\administratoren auch auf dem RODC lokale Admins?

- Falls ja, warum dann die Geschichte mit DSMGMT?

 

Danke + Gruß,

robert

[NilsK 2.971]

Moin,

 

die "Geschichte mit dsmgmt" gibt es deshalb, weil RODC u.a. auf kleine Niederlassungen zielt, in denen es einen lokalen Einzelserver geben soll. Dort soll es möglich sein, einem lokalen Supporter die Server-Administration zuzuteilen, ohne dass er im AD rumfuhrwerken kann.

 

Gruß, Nils