Lage en begrenset admin konto?

[Glenn Østerud]

Hei.

Jeg trenger litt hjelp til å lage en admin konto som IKKE kan endre på elementer i Active Directory?

 

Jeg er hos en kunde der jeg har en slik konto, men jeg klarer jo ikke å se hvordan de har fått det til.

 

Kontoen må jo være medlem av lokal administratorgruppe på serveren, og den bør ha leserettigheter i AD, men aldri skrive.

 

Jeg ser for meg å løse dette med Group Policy.

 

Noen gode forslag?

[nifty]

Hei.

Jeg trenger litt hjelp til å lage en admin konto som IKKE kan endre på elementer i Active Directory?

 

Jeg er hos en kunde der jeg har en slik konto, men jeg klarer jo ikke å se hvordan de har fått det til.

 

Kontoen må jo være medlem av lokal administratorgruppe på serveren, og den bør ha leserettigheter i AD, men aldri skrive.

 

Jeg ser for meg å løse dette med Group Policy.

 

Noen gode forslag?

8868520[/snapback]

Bare å lage en vanlig bruker det , og legge den til i gruppen 'local admins'

 

[Glenn Østerud]

8868520[/snapback]

Bare å lage en vanlig bruker det , og legge den til i gruppen 'local admins'

 

8869523[/snapback]

 

Greit nok. Det har jeg prøvd i mange år. Men denne brukeren trenger også admin tilgang på domenekontrolleren, uten å kunne gjøre noe med AD.

[nifty]

Da må du pluke en av de andre admin gruppene i din AD , backup operators, exchange admins + + , du kan også gi en 'vanlig' bruker local logon rights via AD .

 

Nøyaktig hva skal brukeren kunne gjøre ? Du må spesifisere mer nøyaktig for at jeg skal kunne hjelpe deg bedre...

 

[Glenn Østerud]

Da må du pluke en av de andre admin gruppene i din AD , backup operators, exchange admins + +  , du kan også gi en 'vanlig' bruker local logon rights via AD .

 

Nøyaktig hva skal brukeren kunne gjøre ? Du må spesifisere mer nøyaktig for at jeg skal kunne hjelpe deg bedre...

 

8894101[/snapback]

Det skal være en begrenset admin bruker som eksterne konsulenter kan låne, istedet for å låne bort administrator-kontoen.

Brukeren trenger mulighet for å logge seg på en server via RDP, kunne installere/avinstallere programvare, restarte serveren om nødvendig.

 

Omtrent alt, men ikke tilgang til å f.eks endre seg selv i AD, eller endre andre kontoer i AD.

[tyldum]

Meld brukeren inn i administrator-gruppen lokalt på maskinen, som nevnt over. Dette skal fungere til det du beskriver.

Endret 20. juni 2007 av tyldum

[nifty]