lokale Rechte von remote einschränken

[sparcy 10]

Hallo Leute

 

nach langer Zeit habe ich wieder mal ein Problem:

 

lange Zeit hatten unsere User (2000/XP) lokal Adminrechte. In der Domäne sind sie lediglich Hauptbenutzer. Gibt es ein Tool, mit dem ich als Domainenadmin die Rechte der lokalen User auf den PC's von fern ändern zentral kann?

 

schöne Grüße

Mike

[IThome 10]

Wenn Du die Gruppenzugehörigkeiten auf den lokalen Maschinen meinst, kannst Du es via GPO und Eingeschränkten Gruppen machen ....

[sparcy 10]

Erstmal Danke für die Antwort.

 

ja, ich meine die Zugehörigkeiten zu den lokalen gruppen auf den jeweiligen Computern.

Ich habe mir heute mal die GPO's angesehen, aber nichts weiter gefunden. wo finde ich da etwas, um die Gruppenzugehörigkeiten zu steuern?

wir haben hier ein sauber funktionierendes ADS. Wenn ich also auf einem DC (W2k) eine GPO so einstellen könnte, das die lokalen Gruppenzugehörigkeiten geändert werden können, wäre es optimal. Nur wo, ich finde leider nichts?

[IThome 10]

Du erstellst Dir eine OU, dort hinein kommen alle Computerkonten, auf denen Du die Gruppenzugehörigkeiten geändert werden sollen. In diese OU linkst Du ein GPO, in dem Du unter Computerkonfiguration - Windowseinstellungen - Sicherheitseinstellungen - Eingeschränkte Gruppen die Zugehörigkeiten definierst. Bedenke, dass diese Richtlinie ersetzend und nicht ergänzend ist ...

[sparcy 10]

Irgendwie stell ich mich zu dämlich an.

Ich habe eine OU eingerichtet (Testcomputer)

In diese OU habe ich erstmal 2 Computer verschoben. Ich habe dann eine GPO für diese OU angelegt (UserRights)

Eingeschränkte Gruppen habe ich auch gefunden. Dort muss ich dann eine Gruppe hinzufügen, nur welche? Domaine\Testcomputer?

Dann muss ich die Sicherheitseinstellungen machen. Da sind 2 Felder. Oben kommen die entsprechenden User rein? und unten die lokale Gruppe die sie kriegen sollen? Nur Hauptbenutzer finde ich dort nirgends

user a sitzt an computer a

user b sitzt an computer b

computer a und b sind in der OU Testcomputer.

beide haben auf ihren maschinen ein domainenkonto (lokale Gruppe Hauptbenutzer) und ein lokales Konto (lokale Gruppe Administratoren) und genau das lokale Konto soll jezt auch die Lokale Gruppe Hauptbenutzer bekommen.

[IThome 10]

Du klickst gar nicht auf Durchsuchen, sondern gibst den Namen der lokalen Gruppe ein, z.B. Hauptbenutzer. Im oberen Feld fügst Du dann eine Domänengruppe zu , z.B. Domänenbenutzer (da kannst Du suchen). Wenn Du die Administratoren da hingeschrieben hast, musst dort zusätzlich zu der Domänengruppe der Benutzer Administrator und die Gruppe Domänen-Admins zugefügt werden. Gibst Du also als Gruppe die Administratoren an und wählst als Mitglieder die Domänenbenutzer, den Benutzer Administrator und die Gruppe Domänen-Admins , werden alle Mitglieder der lokalen Gruppe Administratoren entfernt und durch die angegebenen 3 Mitglieder ersetzt ...

[sparcy 10]

Danke für deien Hinweise. Ich denke das sollte ich hinbekommen.

 

Gruß

Mike