Sinnvolle Delegation von adm.Rechten

[Siebenburg 10]

Hallo,

 

ich mache mir gerade Gedanken darüber, wie ich Rechte sinnvoll deligieren kann...

 

Aufbau unserer AD-Domäne (vereinfacht):

 

DOMAIN.local
|__OU: STANDORT-GER
|   |__OU: Computers
|   |__OU: Users
|        |__OU: Groups
|
|__OU: STANDORT-USA
   |__OU: Computers
   |__OU: Users
        |__OU: Groups

 

Für jeden Standort (OU) gibt es auch eine entsprechende AD-Site "STANDORT-xxx".

 

Nun haben wir am Standort USA einen lokalen Administrator der die gröbsten administrativen Dinge erledigen soll. Sowas wie Kennwörter rücksetzen kann ich ja ohne Probleme per AD deligieren.

 

Wie erlaube ich es ihm jedoch am besten, sich an lokalen Workstations und an ihrem Domänencontroller anzumelden ohne dass er DomainAdmin ist ?

 

Eine Lösung wäre, seinen administrativen User (bzw. die globale Gruppe) mittels "net localgroup ... /add" der lok. Admin Gruppe hinzuzufügen. Diesen Befehl würde ich per Loginscript ausführen.

 

Am Domänencontroller geht das natürlich nicht...

 

 

 

Wie ist eure Handhabe bei der Rechtegelegation?

Wie weit geht ihr - wie sehr schränkt ihr "fremde" Administratoren ein?

Einen DomänenAdmin möchte ich nicht verteilen wenn es sich vermeiden lässt...

 

 

 

Gruß,

Siebenburg.

[Hirgelzwift 10]

wenn du ihm die rechte gibst sich an einem DC anzumelden hat er das automatisch auf allen DC's. die frage ist warum du ihm erlauben möchtest sich an einem DC anzumelden?

[Siebenburg 10]

Weil er der lokale Admin der Site ist und sich eh schon hinten und vorne beschnitten fühlt.

Weil wir mit dem AdminPack bisher mehr Probleme als Nutzen hatten und deswegen lieber auf der Console arbeiten.

Weil es passieren kann, dass mal ein zweiter Dienst auf dem DC läuft und er sich deswegen anmelden können sollte.

 

Wobei jedoch Punkt 1 am wichtigsten ist.... Einfach etwas die Wogen glätten.....