Права амдинистратора на вспомогательном контроллере домена...

[podbot]

Есть контроллер домена и вспомогалтельный кд, который расположен в филиале. Появилась необходимость дать права как бы локального администратора на вспомогательный котроллер, но не права доменного админа. Есть встроенная группа - Server Operators, но опять же, права будут распространяться и на основной контроллер. У кого есть идеи как сделать "локального админа" на втором DC?

[germka]

создайте локального пользователя на дополнительном КД и добавьте в необходимую группу

[podbot]

Попробуйте пойти другим путем: какими именно правами должен обладать этот "локальный админ КД"?

[germka]

Цитата germka:



оздайте локального пользователя на дополнительном КД

Права амдинистратора на вспомогательном контроллере домена...

на контроллерах домена нету локальных пользователей.



Если вам нужно, чтобы он только мог перезагружать и т.д. контроллер домена есть группа Server operators. Достаточно внести этого малчыка в это группу.

Если же вы ему хотите разрешить добавлять пользователей только в каком то определенном подразделении или еще что то править а AD читайте про делегирование.

[Dimas_83]

Цитата artem_:



на контроллерах домена нету локальных пользователей.

Права амдинистратора на вспомогательном контроллере домена...

+1




Цитата artem_:



Если вам нужно, чтобы он только мог перезагружать и т.д. контроллер домена есть группа Server operators. Достаточно внести этого малчыка в это группу.

Если же вы ему хотите разрешить добавлять пользователей только в каком то определенном подразделении или еще что то править а AD читайте про делегирование.

Права амдинистратора на вспомогательном контроллере домена...

Вопрос с AD не стоит.

Нужно что бы человек мог ставить/сносить софт, менять какие то локальные настройки, управлять шарами, ну короче всё, что может локальный админ на обычной машине.

И опять же Server operators распространяется на весь домен, как я уже написал. Не хочется пускать человека на основной DC.

[podbot]

Цитата podbot:



на контроллерах домена нету локальных пользователей

Права амдинистратора на вспомогательном контроллере домена...

что то я по КД пропустил

[germka]

podbot, есть группы Domain Admins, Schema Admins - в них указывают администраторов домена и прочего.

Внесение в группу "Администраторы" сделает человека просто админом компа, но не домена.

[Delirium]

Цитата Delirium:



Внесение в группу "Администраторы" сделает человека просто админом компа, но не домена.

Права амдинистратора на вспомогательном контроллере домена...

Если вы говорите про Built-In группу, то вот такой там комент - "Administrators have complete and unrestricted access to the computer/domain", т.е. права действуют на весь домен, и пользователь получет возможность управления всей АД, что и было проверено на практике пол часа назад. В моём случае права должны распространяться только на один из контроллеров, и не распространяться на АД.

[Delirium]

В этом случаи вам придется создать отдельную групповую политику, привязанную к контроллеру домена. И в этой групповой политике изменить параметр Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Группы с ограниченным доступом, т.е. туда добавить вашего супер пользователя.



Рекомендую к прочтению -

http://technet.microsoft.com/ru-ru/l.../cc785631.aspx

.



Советую тренироваться на виртуальных машинах т.к. есть нюансы.

[artem_]

В этом случаи вам придется создать отдельную групповую политику, привязанную к контроллеру домена. И в этой групповой политике изменить параметр Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Группы с ограниченным доступом, т.е. туда добавить вашего супер пользователя.



Рекомендую к прочтению -

http://technet.microsoft.com/ru-ru/l.../cc785631.aspx

.



Советую тренироваться на виртуальных машинах т.к. есть нюансы.