Generisches Benutzerkonto

[koem@ 0]

Hallo zusammen. 

Ich habe folgendes Problem. Wir stellen Geräte her, mit welchen etwas getestet wird. Unser Service und unsere Produktion muss diese Geräte vor der Auslieferung ausgiebig testen und Kalibrieren. Diese Tests können schon mal mehrere Tage dauern. Nun kann es passieren, dass ein User, welcher diesen Test laufen lässt, ausfällt. Dadurch kann sich, würden die Kennwörter geheim gehalten werden, kein anderer am System anmelden und auf die Tests, die Ergebnisse und Ähnliches zugreifen. Aus diesem Grund hat mein Vorgänger auch keine Kennwortrichtlinie eingeführt. Dies möchte ich aber tun und dabei aber die Arbeitsabläufe der Abteilungen nicht beeinträchtigen. 

Aus diesem Grund überlege ich, Benutzerkennungen zu erstellen, welche von mehreren Usern genutzt werden. Diese haben dann nur die Berechtigung, auf ein Verzeichnis im Netzt zugreifen zu können. Oder es werden lokale Kennungen, die auch nur lokal schreiben können. Beides gefällt mir aber eigentlich auch nicht. Und nun kommt Ihr, gibt es noch andere Möglichkeiten und wenn ja, welche?

 

Umgebung: AD, 2 DC, Win Server 2012 R2, WIN 7 und WIN 10 Clients,

Ist hierfür noch was nötig? Dann Fragen.

 

Danke allen im Voraus

[Sunny61 807]

Du kannst bei den Userkonten, die keine Kennwortrichtlinie bekommen sollen, einfach den Haken setzen, Kennwort läuft nicht ab. Am besten richtet man für solche speziellen Konten keine normalen Accounts ein, sondern eben nur dafür vorgesehene. Wenn man sich mit diesen speziellen Accounts nicht an 'normalen' PCs nicht amelden soll, dann kannst Du das auch per GPO einrichten.

[NilsK 2.957]

Moin,

 

weitergehend wäre die Frage, ob solche Accounts überhaupt im produktiven AD richtig aufgehoben sind. Aus Sicherheitssicht wäre zu prüfen, ob man für diese Tests nicht ein separates AD einrichtet. Schließlich habt ihr offenbar eine ganze Reihe von Sessions, die unbeaufsichtigt laufen - und das dann künftig vielleicht auch noch mit Shared Accounts. 

 

Gruß, Nils

 

[daabm 1.366]

Ich würde für so was ja auf lokale Accounts zurückgreifen - schließlich hängt das Testequipment ja wohl auch lokal an einem PC. Das Übertragen zur Domäne kann dann ein Task oder sonst was übernehmen, der mit dem Computeraccount läuft (der halt berechtigt sein muß).

[koem@ 0]

vor 9 Stunden schrieb daabm:

Ich würde für so was ja auf lokale Accounts zurückgreifen - schließlich hängt das Testequipment ja wohl auch lokal an einem PC. Das Übertragen zur Domäne kann dann ein Task oder sonst was übernehmen, der mit dem Computeraccount läuft (der halt berechtigt sein muß).

Das war auch meine Favoritenidee. Danke daabm! Das Equipment hängt zwar nicht direkt am PC, das bekomme ich aber hin. Ich werde wohl wirklich einen Benutzer auf den betreffenden (oder auf allen) Rechnern erstellen (per GPO?) und dann ein Abmeldescript erstellen, welches die generierten Daten auf einen Share der Domäne verteilt.

[Sunny61 807]

Das hier ist nur die Möglichkeit so etwas zu machen: https://www.gruppenrichtlinien.de/de/artikel/verwaltung-der-lokalen-administratoren/

Denk einfach dabei an die lokalen Konten, die Du anlegen möchtest.