Domainfelhasználók hozzáadása a Windows helyi rendszergazdái csoportjához

Ahhoz, hogy a tartományi számítógépeken helyi rendszergazdai jogosultságokat adjon a műszaki támogató személyzetnek, a HelpDesk csapatnak, bizonyos felhasználóknak és más jogosult fiókoknak, hozzá kell adnia a szükséges Active Directory-felhasználókat vagy -csoportokat a helyi Rendszergazdák csoporthoz szerverek vagy munkaállomások. Ebben a cikkben bemutatjuk, hogyan kezelheti a helyi rendszergazdák csoport tagjait a tartományi számítógépeken manuálisan és csoportházirend-objektum segítségével.

Felhasználó hozzáadása manuálisan a Helyi rendszergazdák csoporthoz

A legegyszerűbb módja annak, hogy helyi rendszergazdai jogokat biztosítson egy adott számítógépen egy felhasználónak vagy csoportnak, ha hozzáadja azt a helyi Rendszergazdák csoporthoz a grafikus Helyi felhasználók és csoportok beépülő modul segítségével (

lusrmgr.msc

).

Amikor egy számítógépet AD tartományhoz csatlakozik, a Domain Admins csoport automatikusan hozzáadódik a számítógép helyi Rendszergazdái csoportjához, a Domain User csoport pedig a helyi Felhasználók csoporthoz.

Kattintson a Hozzáadás gombra, és adja meg annak a felhasználónak, csoportnak, számítógépnek vagy szolgáltatásfióknak (gMSA) a nevét, amelyhez helyi rendszergazdai jogokat szeretne adni. A Hely gombbal válthat a tartományban vagy a helyi számítógépen végzett megbízók keresése között.

A parancssor segítségével megjelenítheti a helyi számítógép rendszergazdai jogosultságokkal rendelkező felhasználók listáját is:

net localgroup administrators

A következő PowerShell-parancs segítségével lekérheti a felhasználók listáját egy helyi csoportban (a beépített LocalAccounts modul segítségével a helyi felhasználók és csoportok kezelésére):

Get-LocalGroupMember administrators

Ez a parancs megjeleníti a rendszergazdai jogosultságokkal rendelkező objektumosztályt (ObjectClass=felhasználó, csoport vagy számítógép), valamint a fiók vagy csoport forrását (ActiveDirectory, Azure AD, Microsoft vagy Local).

Ha hozzá szeretne adni egy munWksAdmins (vagy felhasználó) tartománycsoportot a helyi rendszergazdákhoz, futtassa a következő parancsot:

net localgroup administrators /add munWksAdmins /domain

A PowerShell használatával a következőképpen adhat hozzá felhasználót a rendszergazdákhoz:

Add-LocalGroupMember -Group Administrators -Member ('a-d\j.smith', 'a-d\munWksAdmins','wks1122\user1') -Verbose

Ebben a példában hozzáadtunk egy felhasználót és csoportokat a a-d tartományból, valamint egy wks1122\user1 helyi felhasználót a számítógép rendszergazdáihoz.

Egyszerre több számítógépen is hozzáadhat felhasználókat a Rendszergazdák csoporthoz. Ebben az esetben a PowerShell Remoting Invoke-Command parancsmagját használhatja a távoli számítógépek hálózaton keresztüli eléréséhez:

$WKSs = @("PC001","PC002","PC003")
Invoke-Command -ComputerName $WKSs -ScriptBlock {Add-LocalGroupMember -Group Administrators -Member a-d\munWksAdmins'}

Active Directory tartományi környezetben jobb a csoportházirend használata a helyi rendszergazdai jogok megadásához a tartományi számítógépeken. Ez sokkal egyszerűbb, kényelmesebb és biztonságosabb, mintha manuálisan adná hozzá a felhasználókat a helyi Rendszergazdák csoporthoz minden számítógépen. Két csoportházirend-beállítással kezelheti a Rendszergazdák csoportot a tartományi számítógépeken:

• Helyi csoporttagság kezelése a Csoportházirend-beállításokkal;

• Felhasználók hozzáadása a helyi csoportokhoz a Korlátozott csoportok csoportházirend-objektum funkciójával.

Hogyan adhatunk domain felhasználókat a helyi rendszergazdákhoz a csoportházirend-beállításokon keresztül?

A csoportházirend-beállítások (GPP) a legrugalmasabb és legkényelmesebb módja annak, hogy helyi rendszergazdai jogosultságokat biztosítson a tartományi számítógépeken csoportházirend-objektumokon keresztül.

Tegyük fel, hogy az Ön feladata, hogy helyi rendszergazdai jogosultságokat adjon egy adott Active Directory OU-ban (szervezeti egységben) egy HelpDesk-csapatcsoportnak. Hozzon létre egy új biztonsági csoportot a tartományában a PowerShell segítségével, és adja hozzá a Helpdesk csapatfiókjait:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=com' -GroupScope Global -PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

Nyissa meg a tartományi csoportházirend-kezelő konzolt (

GPMC.msc

), hozzon létre egy új házirendet (GPO) AddLocaAdmins, és kapcsolja össze a szervezeti egységeket tartalmazó számítógépekkel (az én példámban ez a következő: OU=Computers,OU=Munich,OU=DE,DC=a-d,DC =com').

1. Szerkessze a korábban létrehozott AddLocaAdmins csoportházirend-objektumot;

2. Lépjen a következő csoportházirend-objektum szakaszba: Számítógép konfigurációja -> Beállítások -> Vezérlőpult beállításai -> Helyi felhasználók és csoportok;

3. Új szabály hozzáadása (Új -> Helyi csoport);

   

4. Válassza a Frissítés lehetőséget a Művelet mezőben (ez egy fontos lehetőség!);

5. Válassza a Rendszergazdák (beépített) lehetőséget a Csoport neve legördülő listában. Még ha ezt a csoportot át is nevezték a számítógépen, a beállításokat a rendszer alkalmazza a helyi Rendszergazdák csoportra. az SID (

   S-1-5-32-544

   );

6. Kattintson a Hozzáadás gombra, és válassza ki azokat a csoportokat, amelyeket hozzá szeretne adni a helyi Rendszergazdák csoporthoz (esetünkben ez a munWKSAdmins);

   Az összes számítógépen eltávolíthatja az összes manuálisan hozzáadott felhasználót és csoportot a helyi rendszergazdák közül. Jelölje be az „Összes tagfelhasználó törlése” és „Összes tagcsoport törlése” lehetőséget. A legtöbb esetben ésszerű, mert garantálja, hogy csak a jóváhagyott tartománycsoportok rendelkeznek rendszergazdai jogosultságokkal a tartományi számítógépeken. Ha manuálisan ad hozzá egy felhasználót a Rendszergazdák csoporthoz a „Helyi felhasználók és csoportok” beépülő modul segítségével, a rendszer a házirend legközelebbi alkalmazásakor automatikusan eltávolítja.

   

7. Mentse el a házirendet, és várja meg, amíg alkalmazásra kerül az ügyfél munkaállomásokon. A csoportházirend-beállítások azonnali alkalmazásához futtassa ezt a parancsot

   gpupdate /force

   a felhasználó számítógépén;

8. Nyissa meg a

   lusrmgr.msc

   beépülő modult bármely tartományi számítógépen, és ellenőrizze a helyi Rendszergazdák csoport tagjait. Csak a munWKSAdmins csoportot kell hozzáadni ehhez a csoporthoz, míg a többi felhasználó és csoport eltávolításra kerül (kivéve a beépített Windows rendszergazdai fiókot).

Egyetlen felhasználó hozzáadása a helyi rendszergazdák csoportjához egy adott számítógépen GPO-val

Néha előfordulhat, hogy egyetlen felhasználónak kell megadnia a rendszergazdai jogosultságokat egy adott számítógépen. Például több fejlesztője van, akiknek időről időre magasabb szintű jogosultságra van szükségük az illesztőprogramok teszteléséhez, hibakereséshez vagy számítógépükre való telepítéséhez. Nem ésszerű felvenni őket az összes tartományi számítógépen jogosultságokkal rendelkező munkaállomás-adminisztrátorok csoportjába.

Használhat GPO WMI-szűrőket vagy elemszintű célzást a helyi rendszergazdai engedélyek megadásához egy adott számítógépen.

Hozzon létre egy új bejegyzést a korábban létrehozott AddLocalAdmins házirend csoportházirend-beállítások szakaszában (Számítógép konfigurációja -> Beállítások -> Vezérlőpult beállításai -> Helyi felhasználók és csoportok):

1. Művelet:

   Update

2. Csoport neve:

   Administrators (Built-in)

3. Leírás: "

   Add amuller to the local administrators on the mun-dev-wsk21 computer

   ”

4. Tagok: Hozzáadás ->

   amuller 

   

5. A Gyakori -> Célzás lapon adja meg ezt a szabályt: "

   the NETBIOS computer name is mun—dev-wks24.

   ” Ez azt jelenti, hogy ez a csoportházirend-elem csak az itt megadott számítógépre vonatkozik.

   

Jegyezze fel azt a sorrendet is, amelyben a csoporttagságot alkalmazza a számítógépen (a

Order 

GPP oszlop). A helyi csoporttagság felülről lefelé kerül alkalmazásra (a

Order 1

irányelv).

Az első GPP-házirend-beállítás (az „Összes tagfelhasználó törlése” és az „Összes tagcsoport törlése” beállításokkal a fent leírtak szerint) eltávolítja az összes felhasználót/csoportot a helyi rendszergazdák csoportból, és hozzáadja a megadott tartománycsoportot. Ezután a rendszer a további számítógép-specifikus házirendeket alkalmazza, amelyek hozzáadják a megadott felhasználót a helyi rendszergazdákhoz. Ha módosítani szeretné a Rendszergazdák csoport tagsági sorrendjét, használja a GPO-szerkesztő konzoljának tetején található gombokat.

Helyi rendszergazdák kezelése korlátozott csoportok csoportházirend-objektumával

A Korlátozott csoportok házirend lehetővé teszi tartománycsoportok/felhasználók hozzáadását a számítógépek helyi biztonsági csoportjához. Ez a helyi rendszergazdai jogosultságok egy régebbi módja, és ma már ritkábban használják (kevésbé rugalmas, mint a fent leírt csoportházirend-beállítások módszere).

1. Nyissa meg a csoportházirend-objektumát;

2. Bontsa ki a Számítógép konfigurációja -> Irányelvek -> Biztonsági beállítások -> Korlátozott csoportok részt;

3. Válassza a Csoport hozzáadása lehetőséget a helyi menüben;

   

4. A következő ablakban írja be az Administrators kifejezést, majd kattintson az OK gombra;

   

5. Kattintson a Hozzáadás lehetőségre a A csoport tagjai szakaszban, és adja meg a csoportot, amelyet fel szeretne venni a helyi rendszergazdákhoz;

   

6. Mentse a változtatásokat, alkalmazza a házirendet a felhasználók számítógépére, és ellenőrizze a helyi Rendszergazdák csoportot. Csak a házirendben megadott csoportot kell tartalmaznia.

   Ezek a csoportházirend-beállítások mindig (!) eltávolítják a helyi Rendszergazdák csoport összes meglévő tagját (amelyeket manuálisan, más házirendekkel vagy szkriptekkel adnak hozzá).

Ha meg kell tartania az Adminisztrátorok csoport jelenlegi tagságát, és hozzá kell adnia egy további csoportot (felhasználót) a Korlátozott csoportok csoportházirend-objektumával, akkor a következőket kell tennie:

1. Hozzon létre egy új bejegyzést a Korlátozott csoportokban, és válassza ki azt az AD biztonsági csoportot (!!!), amelyet hozzá szeretne adni a helyi rendszergazdákhoz;

   

2. Ezután adja hozzá az Adminisztrátorokat a Ez a csoport tagja szakaszhoz;

   

3. Frissítse a csoportházirend-objektum beállításait az ügyfélen, és győződjön meg arról, hogy a tartománycsoport hozzá lett adva a helyi rendszergazdák csoporthoz. Ebben az esetben a helyi csoport jelenlegi megbízói érintetlenül maradnak (nem távolítják el a csoportból).

A cikk végén hagyok néhány ajánlást az Active Directory számítógépeken és kiszolgálókon a rendszergazdai jogosultságok kezeléséhez.

A Microsoft klasszikus biztonsági bevált módszerei a következő csoportok használatát javasolják a rendszergazdai engedélyek elkülönítésére egy AD-tartományban:

1. A Domain Admins csak tartományvezérlőkön használatos;

   Biztonsági szempontból a kiemelt rendszergazdai fiókok esetében nem javasolt a napi adminisztrációs feladatok elvégzése a munkaállomásokon és szervereken Domain Admin jogosultságokkal rendelkező fiók alatt. Ezeket a fiókokat csak AD-kezelési feladatokhoz (új tartományvezérlők hozzáadása, replikációkezelés, Active Directory-séma módosítása stb.) szabad használni. A legtöbb felhasználó-, számítógép- vagy csoportházirend-objektum-kezelési feladatot normál rendszergazdai fiókokra kell delegálni (tartományadminisztrátori engedélyek nélkül). Ne használjon Domain Admin fiókokat a tartományvezérlőktől eltérő munkaállomásokra vagy kiszolgálókra való bejelentkezéshez.

2. A Szerveradminisztrátorok egy csoport, amely lehetővé teszi a Windows Server gazdagépeinek kezelését egy AD-tartományban. Nem lehet tagja a Domain Admins csoportnak vagy a helyi rendszergazdák csoportnak a munkaállomásokon;

3. A Munkaállomás-adminisztrátorok egy csoport adminisztrációs feladatok elvégzésére csak munkaállomásokon. Nem lehet tagja a Domain Admins és Server Admins csoportnak;

4. A Domain-felhasználók általános felhasználói fiókok, amelyek tipikus irodai műveleteket hajtanak végre. Nem rendelkezhetnek rendszergazdai jogosultságokkal a szervereken vagy munkaállomásokon;

5. Nem ajánlott egyéni felhasználói fiókokat hozzáadni a helyi rendszergazdák csoporthoz. Jobb a tartománybiztonsági csoportok használata. Ebben az esetben ahhoz, hogy adminisztrátori jogosultságokat adjon a következő technikai támogatási alkalmazottnak, elegendő őt hozzáadni a tartománycsoporthoz (anélkül, hogy szerkeszteni kellene a csoportházirend-objektumot).