Einrichten eines Administrators nur auf einem PC

[mwildbolz 10]

Hi!

 

Hab wieder mal ein Problem:

 

Ich habe in meinem AD 20 Benutzer, welche alle bestimmte globale Rechte haben (die meisten nur Domänen-Benutzer)

Ich möchte aber ein paar von denen auf einem bestimmten PC (den ich auswähle) Administratorrechte geben.

Ich hab auch schon im Forum gesucht, bin aber nicht wirklich schlauer geworden.

 

Bitte helft mir.

 

lg, Markus Wildbolz

[mbrock 10]

Hi,

 

möchtest Du dass mehrere User auf genau 1 PC die Adminrechte haben oder jeder dieser 'Poweruser' auf einem anderen PC?

[Inventator 10]

Hallo,

 

du kannst die User der Domäne in die lokale Administratoren Gruppe auf dem Client PC schieben. Dann sollte das funktionieren.

[mwildbolz 10]

Also, es geht darum, dass ich zum Beispiel dem Herrn Müller, der auf PC17 sitzt, auf seinem PC (Arbeitsplatz) Administratorrechte gebe.

 

Lokal hinzufügen ginge, es wäre mir aber lieber, wenn man das irgendwie über das AD machen könnte --> Weniger Administrationsaufwand.

Könntest du mir das mal erklären, wie ich das mache??

 

lg, markus

[mbrock 10]

Irgendwodran musst du ja festmachen wer auf welchem PC Admin wird.

Du kannst dies über Gruppen in der AD regeln und diesen Gruppen dann lokale Adminrechte vergeben, dann kannst du wenigstens in der AD- Console sehen wer wo admin ist.

Ob das in deinem Fall sinn macht musst du schon selbst wissen.

[mwildbolz 10]

OK, und wie würd ich das in der AD einstellen??

[thorgood 10]

Hallo Markus,

 

du kannst für einen oder eine Gruppe von Computern eine Gruppenrichtlinie erstellen

und dort einzelnen oder mehreren Benutzer lokale Administratorenrechte geben.

 

Die Boardsuche unter dem Stichwort "Eingeschränkte Gruppen" erzählt dir mehr.

 

thorgood

[mwildbolz 10]

Gut, hab jetzt einiges gefunden, wo ähnliche Probleme vorliegen, wie bei mir.

 

Trotzdem komm ich nicht drauf, wie ich das selber machen will.

 

Was muss ich also tun, wenn ich auf dem PC17 dem Herrn Müller Adminrechte geben will?

Was muss ich da alles einstellen?

Wichtig ist auch, dass der Herr MÜller nur auf diesem PC Admin rechte hat und sonst nirgends!!

 

lg, Markus

[the_brayn 10]

Hiho,

 

versuch es mal in einem Anmeldescript mit net group, der User darf sich an dem Tag dann aber nur an seinem Rechner anmelden. Habs noch nicht getestet obs funktioniert. Und sollte es funzen, weiß ich nicht ob eine einmaliges Ausführen in dem Falle reicht.

 

Gruß Guido

[mbrock 10]

Hi

versuch es mal in einem Anmeldescript mit net group, der User darf sich an dem Tag dann aber nur an seinem Rechner anmelden. Habs noch nicht getestet obs funktioniert. Und sollte es funzen, weiß ich nicht ob eine einmaliges Ausführen in dem Falle reicht.

Ich persönlich glaube nicht dass das funktioniert:

Um auf die lokale Gruppe zuzugreifen lautet der Befehl 'Net Localgroup'

ABER

um sich selbst in eine Gruppe aufzunehmen muss man selbst über weitreichende Rechte verfügen, die sind aber hier wohl eher das Ziel und nicht die Ausgangssituation.

 

Trotzdem komm ich nicht drauf, wie ich das selber machen will.

 

Was muss ich also tun, wenn ich auf dem PC17 dem Herrn Müller Adminrechte geben will?

Was muss ich da alles einstellen?

Wichtig ist auch, dass der Herr MÜller nur auf diesem PC Admin rechte hat und sonst nirgends!!

Also wie das mit der GPO genau geht kann ich dir auch nicht erklären, da habe ich zu wenig mit zu schaffen:(

Wenn ich den Überblick über die AD behalten will kann ich wie folgt vorgehen:

Für jeden PC eine Admingruppe in der AD anlegen (e.g.PC17_Admins)

Auf jedem PC die Admingruppe aus der AD in die lokale Gruppe Administratoren aufnehmen, die dem Computernamen entspricht (e.g. PC17_admins als Mitglied der lokalen Gruppe Administratoren auf PC17)

Die Benutzerkonten die auf dem PC Admnirechte bekommen sollen in die AD- Admingruppe aufnehmen (e.g. Herr Müller in die Gruppe PC17_admins)

viola! :D

Das ganze geht sicherlich eleganter über GPO - aber wie eben schon erwähnt: i don't know how to do :(

 

Sicherlich ist am einfachsten umzusetzen:

Domainuser in die lokale Gruppe Administratoren aufnehmen (e.g. Herr Müller in die Gruppe Adminisratoren auf PC17)

Dabei geht natürlich ein Stück Übersichtlichkeit verloren da nicht alles in der AD console sichtbar und änderbar ist.

 

Vielleicht kann jemand anderes den Weg über die GPO genauer erläutern?

[Hirgelzwift 10]

Ich sehe keine Möglichkeit die Sinn macht ohne Müller in die Gruppe der lokalen Admins reinzutun und schon bist du fertig! AD kann viel aber man sollte es nicht übertreiben. Der Vorgang Hr. Müller da reinzutun dauert nicht mehr als 30 Sekunden. Selbst wenn man den Fall über AD abbilden könnte das macht keiner den ich kenne.

[mwildbolz 10]

Jetzt hab ich noch eine dumme Frage:

Wie bring ich ihn in die Gruppe der lokalen Admins??

Ich hab es das letzte Mal über Windows Systemsteuerung -> Benutzerkonten versucht, aber da werden nur lokale Benutzer angezeigt. Selbes in der MMC. Hab ich da was vergessen, oder falsch gemacht??

 

Bitte nich wundern, ich bin AD mäßig Anfänger *gg*

 

Danke, Markus

[Hirgelzwift 10]

:shock: Versuchs mal genau dort wo du sagst und dann zweimal Erweitert oder in Systemsteuerung -> Verwaltung -> ComputerManagement -> Benutzer :rolleyes: ;) :p

[mbrock 10]

Hi,

 

entweder wie oben erwähnt oder lokal auf dem PC als lokaler admin:

NET LOCALGROUP Administratoren mit entsprechenden Optionen - steht in der Hilfe bei NET HELP LOCALGROUP.

 

Bei der Variante über die MMC kannstdu das ganze auch zentral erledigen:

Einfach das Snap-In Computer Management für den Zielcomputer einbinden, wenn du genügend Rechte auf dem Zielcomputer hast kannst du hier die Gruppenmitgliedschaft einstellen.

 

Wie bereits die Vorschreiber völlig richtig anmerken:

Es macht nicht wirklich Sinn für jeden Computer eine Gruppe in der AD anzulegen nur um jeweils einen Benutzer wegen der lokalen Adminrechte da reinzulegen.

 

Ich präferiere hier auch die Mitglieschaft in der lokalen Gruppe Administratoren durch den Domänenbenutzer.

[lefg 276]

Wie bring ich ihn in die Gruppe der lokalen Admins??

Ich hab es das letzte Mal über Windows Systemsteuerung -> Benutzerkonten versucht, aber da werden nur lokale Benutzer angezeigt.

Hallo,

 

in der lokalen Benutzerverwaltung nicht auf Benutzer, sondern auf Gruppen gehen.

 

Eigenschaften der Administratoren, Hinzufügen, Suchen in,

Aus der Domäne oder dem gesamten Verzeichnis den User auswählen.

 

Viel Erfolg

Edgar