Наследование полномочий на новых машинах в локальной сети

Anton Shepelev написал(а) к All в Jul 19 14:00:17 по местному времени:

From: Anton Shepelev <antonius@freeshell.de>

Здравствуйте,

Есть локальная сеть на базе Windows Server 2012. Можно ли
настроить её так, чтобы при вводе нового компьютера в домен,
все пользователи из нашей группы `OurAdmins' автоматически
получали права локальных администраторов? Сейчас
администратор каждый раз вручную добавляет этих
пользователей индивидуально.

--
Anton Shepelev
--- ifmail v.2.15dev5.4

Alexander Kruglikov написал(а) к Anton Shepelev в Jul 19 11:04:56 по местному времени:

Привет, Anton!

10 июл 19 14:00, Anton Shepelev писал(а) к All:

AS> Есть локальная сеть на базе Windows Server 2012. Можно ли настроить
AS> её так, чтобы при вводе нового компьютера в домен, все пользователи из
AS> нашей группы `OurAdmins' автоматически получали права локальных
AS> администраторов? Сейчас администратор каждый раз вручную добавляет
AS> этих пользователей индивидуально.

Гугли Group Policy Restricted Groups.

З.Ы. (Замечу Ышо): искренне не понимаю, зачем это нужно, но спрашивать не буду.

С наилучшими пожеланиями, Alexander.
--- "GoldED+/OSX 1.1.5-b20180707" ---

Anton Shepelev написал(а) к Anton Shepelev в Aug 19 19:53:23 по местному времени:

From: Anton Shepelev <antonius@freeshell.de>

Alexander Kruglikov to Anton Shepelev:

AS>> Есть локальная сеть на базе Windows Server 2012. Можно
AS>> ли настроить её так, чтобы при вводе нового компьютера
AS>> в домен, все пользователи из нашей группы `OurAdmins'
AS>> автоматически получали права локальных администраторов?
AS>> Сейчас администратор каждый раз вручную добавляет этих
AS>> пользователей индивидуально.

AK> З.Ы. (Замечу Ышо): искренне не понимаю, зачем это нужно,
AK> но спрашивать не буду.

А я отвечу: у нас часто разворачивают новые виртуальные
терминальные сервера для работы через RDP, поэтому
прописывать всех локальных админов вручную напряжно.

--
Anton Shepelev
--- ifmail v.2.15dev5.4

Alexander Kruglikov написал(а) к Anton Shepelev в Aug 19 00:21:14 по местному времени:

Привет, Anton!

06 авг 19 19:53, Anton Shepelev писал(а) к Anton Shepelev:

AS>>> Есть локальная сеть на базе Windows Server 2012. Можно ли настроить
AS>>> её так, чтобы при вводе нового компьютера в домен, все пользователи
AS>>> из нашей группы `OurAdmins' автоматически получали права локальных
AS>>> администраторов? Сейчас администратор каждый раз вручную добавляет
AS>>> этих пользователей индивидуально.
AK>> З.Ы. (Замечу Ышо): искренне не понимаю, зачем это нужно, но
AK>> спрашивать не буду.
AS> А я отвечу: у нас часто разворачивают новые виртуальные терминальные
AS> сервера для работы через RDP, поэтому прописывать всех локальных
AS> админов вручную напряжно.

Я про то, что зачем нужны локальные админы, если комп в домене?

С наилучшими пожеланиями, Alexander.
--- "GoldED+/OSX 1.1.5-b20180707" ---

Andrew Kant написал(а) к Alexander Kruglikov в Aug 19 07:24:49 по местному времени:

Нello Alexander!

Wednesday August 07 2019 00:21, Alexander Kruglikov wrote to Anton Shepelev:

AK> @RealName: Александр А. Кругликов
AK> @E-Мыло: alexandr (собака) kruglikov (тчк) info
AK> @ICQ: 668545
AK> @Voice: +7-905-384-4027
AK> Привет, Anton!

AK> 06 авг 19 19:53, Anton Shepelev писал(а) к Anton Shepelev:

AS>>>> Есть локальная сеть на базе Windows Server 2012. Можно ли
AS>>>> настроить её так, чтобы при вводе нового компьютера в домен, все
AS>>>> пользователи из нашей группы `OurAdmins' автоматически получали
AS>>>> права локальных администраторов? Сейчас администратор каждый раз
AS>>>> вручную добавляет этих пользователей индивидуально.
AK>>> З.Ы. (Замечу Ышо): искренне не понимаю, зачем это нужно, но
AK>>> спрашивать не буду.
AS>> А я отвечу: у нас часто разворачивают новые виртуальные
AS>> терминальные сервера для работы через RDP, поэтому прописывать всех
AS>> локальных админов вручную напряжно.

AK> Я про то, что зачем нужны локальные админы, если комп в домене?

Если комп в домене, то это не означает, что все вокруг доменные админы. Иногда нужно, чтоб человек не был доменным админом (то есть не имел прав на контроллерах домена), но при этом был админом на одном или нескольких компьютерах. Вот в этом случае через доменные политики его надо добавить на конкретном компе(компах) в группу локальных админов.

Делается это довольно просто, и гугль знает как (поэтому непонятно, почему-бы не спросить сразу у него - ответ будет существенно быстрее).

Например, https://www.ekzorchik.ru/2012/12/ser...dministrators/

Good bye!
Andrew

--- GoldED+/W32 1.1.4.7

Alexander Kruglikov написал(а) к Andrew Kant в Aug 19 08:39:30 по местному времени:

Привет, Andrew!

07 авг 19 07:24, Andrew Kant писал(а) к Alexander Kruglikov:

AK>> Я про то, что зачем нужны локальные админы, если комп в домене?
AK> Если комп в домене, то это не означает, что все вокруг доменные
AK> админы. Иногда нужно, чтоб человек не был доменным админом (то есть не
AK> имел прав на контроллерах домена), но при этом был админом на одном
AK> или нескольких компьютерах. Вот в этом случае через доменные политики
AK> его надо добавить на конкретном компе(компах) в группу локальных
AK> админов.

Где я писал, что пользователь домена должен быть админом домена? Не надо думать за меня, плз.

Я про то, что почему бы просто не добавить в локальную группу "Администраторы" доменную группу OurAdmins?

С наилучшими пожеланиями, Alexander.
--- "GoldED+/OSX 1.1.5-b20180707" ---

Andrew Kant написал(а) к Alexander Kruglikov в Aug 19 17:14:11 по местному времени:

Нello Alexander!

Wednesday August 07 2019 08:39, Alexander Kruglikov wrote to Andrew Kant:

AK> @RealName: Александр А. Кругликов
AK> @E-Мыло: alexandr (собака) kruglikov (тчк) info
AK> @ICQ: 668545
AK> @Voice: +7-905-384-4027
AK> Привет, Andrew!

AK> 07 авг 19 07:24, Andrew Kant писал(а) к Alexander Kruglikov:

AK>>> Я про то, что зачем нужны локальные админы, если комп в домене?
AK>> Если комп в домене, то это не означает, что все вокруг доменные
AK>> админы. Иногда нужно, чтоб человек не был доменным админом (то есть
AK>> не имел прав на контроллерах домена), но при этом был админом на
AK>> одном или нескольких компьютерах. Вот в этом случае через доменные
AK>> политики его надо добавить на конкретном компе(компах) в группу
AK>> локальных админов.

AK> Где я писал, что пользователь домена должен быть админом домена?
А где я писал, что ты это писал? :)

AK> Я про то, что почему бы просто не добавить в локальную группу
AK> "Администраторы" доменную группу OurAdmins?
Так именно это и делается. Только это делается с помощью доменной политики,
которая навешивается на соответствующий контейнер, например, на Сomputers, куда по умолчанию помещаются новые компы. И как только комп вводится в домен, политика применяется автоматом, то есть не нужно никаких лишних телодвижений и ручных добавлений групп.

Good bye!
Andrew

--- GoldED+/W32 1.1.4.7

Alexander Kruglikov написал(а) к Andrew Kant в Aug 19 21:07:36 по местному времени:

Привет, Andrew!

* Ответ на сообщение из CarbonArea (Мыльце для меня).

07 авг 19 17:14, Andrew Kant писал(а) к Alexander Kruglikov:

AK>> Я про то, что почему бы просто не добавить в локальную группу
AK>> "Администраторы" доменную группу OurAdmins?
AK> Так именно это и делается. Только это делается с помощью доменной
AK> политики, которая навешивается на соответствующий контейнер, например,
AK> на Сomputers, куда по умолчанию помещаются новые компы. И как только
AK> комп вводится в домен, политика применяется автоматом, то есть не
AK> нужно никаких лишних телодвижений и ручных добавлений групп.

Ну вот мы и поняли друг друга и пришли к согласию =)

С наилучшими пожеланиями, Alexander.
--- "GoldED+/OSX 1.1.5-b20180707" ---

Anton Shepelev написал(а) к Andrew Kant в Aug 19 23:30:09 по местному времени:

From: Anton Shepelev <antonius@freeshell.de>

Andrew Kant:

AK> Если комп в домене, то это не означает, что все
AK> вокруг доменные админы. Иногда нужно, чтоб чело-
AK> век не был доменным админом (то есть не имел
AK> прав на контроллерах домена), но при этом был
AK> админом на одном или нескольких компьютерах. Вот
AK> в этом случае через доменные политики его надо
AK> добавить на конкретном компе(компах) в группу
AK> локальных админов.

Именно так.

AK> Делается это довольно просто, и гугль знает как
AK> (поэтому непонятно, почему-бы не спросить сразу
AK> у него -- ответ будет существенно быстрее).

Я спросил для нашего админа, а сам даже не знаю пра-
вильной терминологии, чтобы составить грамотный за-
прос в Google. Я уже переслал ему эту переписку,
так что всем спасибо.

--
Антон Шепелёв
--- ifmail v.2.15dev5.4