Beschränkte Gruppen

[Ebenezer 13]

Hi, ich habe alle Windows 7 Clients in einer OU und gebe per GP (Beschränkte Gruppen) die lokalen Administratoren vor. Was ist nicht verstehe: füge ich einzelne AD-Benutzer auf diesem Weg zur lokalen Gruppe der Administratoren hinzu klappt alles prima, füge ich aber eine AD-Gruppe zur lokalen Gruppe der Administratoren hinzu wird diese zwar angezeigt, aber die enthaltenen Nutzer haben keine Adminrechte! UAC ist aktiviert. Liegt es daran? Kann man das umgehen oder muss ich mir mal wieder ein Buch kaufen? :=)

 

Vielen Dank + Grüße,

 

Nico

[NilsK 2.958]

Moin,

 

ja, da wird wohl UAC dazwischengehen.

 

[benutzerkontensteuerung (UAC) richtig einsetzen | faq-o-matic.net]
http://www.faq-o-matic.net/2008/02/22/benutzerkontensteuerung-uac-richtig-einsetzen/

 

Gruß, Nils

[Ebenezer 13]

Danke Nils, für Deine Antwort. Deinen Artikel hatte ich schon mal gelesen und jetzt erneut überflogen, dennoch verstehe ich das nicht, schließlich verhindert die UAC, dass man konsequent mit gruppenbasierten Berechtigungen arbeiten kann und das wiederum dürfte doch best practice sein. Jedes mal die Gruppenrichtlinie zu ändern, nur weil ich die lokalen Admins ändern muss, ist auch umständlich und lässt sich das nicht so gut dokumentieren. UAC deaktivieren will ich auch nicht, die ist doch eigentlich ganz sinnvoll.

 

Grüße,

 

Nico

[daabm 1.366]

@Nils: Was hat denn bitte UAC mit der Verwendung von Gruppen in RG zu tun???

 

@Nico: Was sagt "whoami /groups" und was sagt der Gruppenrichtlinien-Ergebnissatz? Verschachtelst Du globale oder DL-Gruppen? Du solltest globale verwenden...

[Sunny61 807]

Hi, ich habe alle Windows 7 Clients in einer OU und gebe per GP (Beschränkte Gruppen) die lokalen Administratoren vor. Was ist nicht verstehe: füge ich einzelne AD-Benutzer auf diesem Weg zur lokalen Gruppe der Administratoren hinzu klappt alles prima, füge ich aber eine AD-Gruppe zur lokalen Gruppe der Administratoren hinzu wird diese zwar angezeigt, aber die enthaltenen Nutzer haben keine Adminrechte!

Lt. http://www.gruppenrichtlinien.de/artikel/lokaler-administrator-install-agent-delegation-pro-computer/ müsste das aber so funktionieren. Der Benutzer ist/war schon vorher in der Gruppe? Wenn nein, dann muß sich der Benutzer ab- und wieder anmelden damit die Gruppenmitgliedschaft auch im Token ist.

[NilsK 2.958]

Moin,

 

@Nils: Was hat denn bitte UAC mit der Verwendung von Gruppen in RG zu tun???

 

die UAC kann damit zu tun haben, dass User, die Mitglied der Administratorengruppe sind, keine Adminrechte haben. Das war es, was ich meinte. Und damit wollte ich anregen, dass der TO dem mal nachgeht.

 

Gruß, Nils

Moin,

 

schließlich verhindert die UAC, dass man konsequent mit gruppenbasierten Berechtigungen arbeiten kann

 

nein, das verhindert sie nicht. Da man in einer Domänenumgebung den Usern keine Adminrechte gibt, die UAC aber (vorrangig) die Adminrechte einschränkt, ergibt sich daraus zunächst kein Nachteil.

 

Gruß, Nils

[daabm 1.366]

die UAC kann damit zu tun haben, dass User, die Mitglied der Administratorengruppe sind, keine Adminrechte haben. Das war es, was ich meinte. Und damit wollte ich anregen, dass der TO dem mal nachgeht.

 

Ok, verstanden :cool:

[Doso 77]

Machen wir auch so, funktioniert bei uns. Natürlich blockt die UAC auch hier Sachen die die UAC auch bei der anderen Methode blockt.