lokaler Administrator auf DC

[niesfisch 10]

Hallo,

 

ist das irgendwie machbar einen "lokalen Admin" auf einem W2K3 Controller zu kreieren?

Konkretes Problem: der betroffene DC ist gleichzeitig Anwendungsserver. Ein dritter, nicht Domänenadmin betreut diese Anwendungen und muss installieren dürfen, Freigaben bearbeiten usw. - wie verschaffe ich ihm nur auf dem DC diese administrativen Rechte?

 

Gruß

Andreas

[Dirk_privat 10]

Hi,

 

Domain Controller haben keine lokalen Benutzerkonten.

 

Gruß

Dirk

[niesfisch 10]

Das ist klar, aber wie bekomme ich mein Problem gelöst?

[grizzly999 11]

Du könntest den benutzer in die Gruppe der Server-Operatoren stecken. Dann darf er (auf diesem UND allen anderen DCs der Domäne) Freigaben erstellen und verwalten, Sicherungen fahren und wiederherstellen, die Uhrzeit ändern, den DC herunterfahren und natürlich sich lokal am DC anmelden (falls das dein "usw." war)

 

 

grizzly999

[Dirk_privat 10]

Tja, das wird schwierig. Wenn er sich lokal anmeld soll, könntest Du ihn höchstens in die Serveroperator Gruppe nehmen und ihm das Recht für die lokale Anmeldung gewähren. Damit könnte er Freigaben, etc. auf dem Server einricht. Um volle Admin Rechte auf dem Server zu haben kommst Du nicht umhin ihm Domain Administrator Rechte zu geben. Da würde ich persönlich lieber die Applikation vom DC auf einen anderen Server verschieben.

 

Gruß

Dirk

[niesfisch 10]

Tja, das wird schwierig. Wenn er sich lokal anmeld soll, könntest Du ihn höchstens in die Serveroperator Gruppe nehmen und ihm das Recht für die lokale Anmeldung gewähren. Damit könnte er Freigaben, etc. auf dem Server einricht. Um volle Admin Rechte auf dem Server zu haben kommst Du nicht umhin ihm Domain Administrator Rechte zu geben. Da würde ich persönlich lieber die Applikation vom DC auf einen anderen Server verschieben.

 

Gruß

Dirk

 

Hmm, hab ich auch schon überlegt. Aber wie schon erwähnt wurde, stört mich das dann alle Server der Domäne ebenso mit diesem Account verwaltbar wären.

Naja für qick and dirty reichts erst mal. Wahrscheinlich ziehe ich das AD demnächst mal von der Maschine weg.

Ich hatte gehofft das man vielleicht noch über lokale Sicherheitsrichtlinien noch etwas drehen kann.

 

Danke und Gruß!

[Wolke2k4 11]

Mit ähnlichen Problemen kämpfen wir bei unseren Kunden, hier meist auf den Terminal Servern.

 

Per GPOs kann man die System schon recht gut dicht machen. Auf den anderen Servern könntest Du dann noch dem Admin Account das Recht zur lokalen Anmeldung verweigern.