AD-Benutzer in die Gruppe der Remotedesktopbenutzer hinzufügen

[raymccoy 1]

Hallo, ich suche ein Script mit dem man AD-User in die Gruppe der lokalen Remotedesktopbenutzer bringt. Es gibt ein Script https://gallery.technet.microsoft.com/scriptcenter/Add-AD-UserGroup-to-RDP-c17b24a4 das dies auf englischen OS kann aber auf deutschen nicht. Es liegt am Problem das die Gruppe auf dem englischen "Remote Desktop Users" heisst, auf einem deutsche OS aber "Remotdesktopbenutzer". Gibt es irgendwie einen Language unabhängigen Weg oder sollte man einfach eine Case für die Sprache einbauen?

[Dukel 454]

Via der SID:

https://support.microsoft.com/en-us/help/243330/well-known-security-identifiers-in-windows-operating-systems

 

Quote

SID

Name

Description

S-1-5-32-555 Builtin\Remote Desktop Users An alias. Members in this group are granted the right to log on remotely.

 

[NilsK 2.934]

Moin,

 

eine schöne Lösung würde ... oh, da war Dukel schneller ... jetzt schreib ich aber weiter: ... mit den Well-known SIDs arbeiten. Du wirst im Web Beispiele finden, wie man das implementiert.

 

Die simpelste Lösung wäre, den String im Skriptcode zu ersetzen, wenn eine Sprache ausreicht. Eine ebenfalls simple Lösung würde, wie du schon andeutest, mehrere Strings prüfen.

 

Gruß, Nils

 

[testperson 1.677]

Hi,

 

eine weitere Alternative wären die Gruppenrichtlinien Einstellungen "Lokale Benutzer und Gruppen" oder die "Eingeschränkten Gruppen".

 

Gruß

Jan

[raymccoy 1]

Die Sid ist in dem Fall S-1-5-32-555

[NilsK 2.934]

Moin,

 

genau. Hat Dukel ja oben angegeben.

 

Gruß, Nils

 

[daabm 1.354]

Wenn man den Gruppennamen braucht, geht das immer über WMI. In den GPP "Local Users and Groups" dann per Zielgruppenadressierung mit WMI-Abfrage und Eigenschaft "Name" in Variable. Und überhaupt berechtigt man niemanden per Skript - https://evilgpo.blogspot.com/2015/04/wer-bin-ich-und-was-darf-ich.html

Da stehe ich auch gerne für weitere Infos zur Verfügung - wir setzen das grad im Enterprise um. Hat etwas gedauert, weil das "nachträglich" kaum ohne Verluste geht  

[raymccoy 1]

Nun habe ich die richtige Syntax

Habs verstanden, es muss -SID anstatt -Group angegeben werden:
Add-LocalGroupMember -SID S-1-5-32-555 -Member "max@mustermann.de"

Mit Get-LocalGroupMember -SID S-1-5-32-555 kann man überpüfen ob es geklappt hat.