[решено] Автоматизация назначения прав пользователя

[ProkVS]

Сразу оговорюсь, что имею далёкое представление о механизме назначения прав пользователям, так что не удивлюсь если задача изначально невыполнима...



Необходимо автоматизировать процесс добавления доменного пользователя в группу "Администраторы" на локальном компьютере!



В данный момент имею следующую картину:

Во время установки ОС весь софт, твики и настройки применяются к учетной записи созданной с помощью winnt.sif. После установки приходится выполнять ряд действий:

1. Захожу доменным пользователем, чтобы создался его профиль и сразу завершаю сеанс...

2. Логинюсь доменным админом

3. Включаю в группу "Администраторы" доменного пользователя

4. Копирую первоначальный профиль на профиль доменного пользователя. Несмотря на то, что все настройки стараюсь делать на ранних этапах установки, дабы применялись к дефолтному пользователю, со всеми вытекающими последствиями, ан нет, полного соответствия удаётся достичь только копированием...

5. Захожу доменным пользователем в качестве админа на этом компьютере, установка закончена...



Хотелось бы исключить все эти телодвижения и скажем на T-12 запустить утиль или твик добавляющий пользователя вида DOMEN\User в группу "Администраторы", соответственно первый вход в систему осуществлялся именно им в качестве админа!



С помощью регшота выяснил, что при добавлении пользователя в реестре меняется значение ключа (некий циферно-буквенный шифр):

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed



Так же изменяются файлы:

C:\WINDOWS\system32\config\SAM

C:\WINDOWS\system32\config\SAM.LOG

Открыть не удалось, сильно защищённые виндовые файлы с паролями...



Хуух, вроде доступно изложил...

[xstranger]

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed - отвечает не за это, это точно



C:\WINDOWS\system32\config\SAM

C:\WINDOWS\system32\config\SAM.LOG - а это файлы базы реестра (сам реестр, можно так сказать)

[xstranger]

Сам спросил, сам ответил...

Права локального админа пользователю домена можно дать двумя способами:

1. С помощью ГПО -

Группы с ограниченным доступом (Restricted Groups)

:

Просто добавить группу "Администраторы" или любую другую локальную группу, а в "Члены этой группы" добавить тех пользователей (или группу) которые необходимы!



2. С помощью команды:

Код:

Код: Выделить всё

NET LOCALGROUP
[имя_группы [/COMMENT:"текст"]] [/DOMAIN]
              имя_группы {/ADD [/COMMENT:"текст"] | /DELETE}
              имя_группы имя [...] {/ADD | /DELETE} [/DOMAIN]