7
Wind. Srv. 2003. Alle Clients lokaler Admin...wie?
Hallo zusammen
Ich möchte ca. 200 Clients Lokale Admin Rechte erteilen bei den Clients Computer (Lokale Benutzergruppen -> Administratoren -> Dömäne Users <- hinzufügen).
Zuerst dachte ich, ich könne dies durch das Anmeldescript meistern (mit batch ist dies möglich...), leider teilte mir jemand mit, dass die Clients das Anmeldescript mit den
User-Rechte starten, daher dürfen die Clients sich nicht selber als Lokalen Admin hinzufügen.
Meine Frage:
Wie geht es am einfachsten so viele Clienets / Computers die Gruppe "Domäne Users" als Lokalen Admin hinzuzufügen?
Mit der mmc geht es mir viel zu lange und nicht jeder Computer /Client ist 24h online...
Auch bei jedem Computer die Einstellung manuell einzugeben ist ein Prozess der zu lange geht...
Ich danke euch im vorraus für jede Hilfe!
Danke.
MfG
Seven8
Ich möchte ca. 200 Clients Lokale Admin Rechte erteilen bei den Clients Computer (Lokale Benutzergruppen -> Administratoren -> Dömäne Users <- hinzufügen).
Zuerst dachte ich, ich könne dies durch das Anmeldescript meistern (mit batch ist dies möglich...), leider teilte mir jemand mit, dass die Clients das Anmeldescript mit den
User-Rechte starten, daher dürfen die Clients sich nicht selber als Lokalen Admin hinzufügen.
Meine Frage:
Wie geht es am einfachsten so viele Clienets / Computers die Gruppe "Domäne Users" als Lokalen Admin hinzuzufügen?
Mit der mmc geht es mir viel zu lange und nicht jeder Computer /Client ist 24h online...
Auch bei jedem Computer die Einstellung manuell einzugeben ist ein Prozess der zu lange geht...
Ich danke euch im vorraus für jede Hilfe!
Danke.
MfG
Seven8
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 177631
Url: https://administrator.de/forum/wind-srv-2003-alle-clients-lokaler-admin-wie-177631.html
Ausgedruckt am: 09.01.2025 um 22:01 Uhr
7 Kommentare
Neuester Kommentar
Hi seven8
Da ich allerdings sehr wenig davon halte, solchen Unsinn zu unterstützen, lasse ich es.
[Ironie]
Edit: Mach doch einfach alle Domänen-User zu Domänen-Admins, dann ist dein Problem behoben.
[/Ironie]
Zitat von @seven8:
Ich möchte ca. 200 Clients Lokale Admin Rechte erteilen bei den Clients Computer (Lokale Benutzergruppen ->
Administratoren -> Dömäne Users <- hinzufügen).
Ich könnte dir einen Tipp geben, wie das funktionieren müsste.Ich möchte ca. 200 Clients Lokale Admin Rechte erteilen bei den Clients Computer (Lokale Benutzergruppen ->
Administratoren -> Dömäne Users <- hinzufügen).
Da ich allerdings sehr wenig davon halte, solchen Unsinn zu unterstützen, lasse ich es.
[Ironie]
Edit: Mach doch einfach alle Domänen-User zu Domänen-Admins, dann ist dein Problem behoben.
[/Ironie]
Hallo,
wofür hast du eine Domänen Infrastruktur und abgestufte Benutzerrechte eingbaut?
Wenn du jetzt alle zu Admins machen willst, dann geht dir dein Netz in kürzester Zeit in die Knie und du suchst nur noch Fehler!
brammer
wofür hast du eine Domänen Infrastruktur und abgestufte Benutzerrechte eingbaut?
Wenn du jetzt alle zu Admins machen willst, dann geht dir dein Netz in kürzester Zeit in die Knie und du suchst nur noch Fehler!
brammer
Moin,
ironie
Warum der Stress?
Passwort für Domänen-Admin per E-Mail rumschicken, Zeitung rauskramen und Stellenanzeigen raussuchen.
ironie off
Gruß
Edit: Verdammt goscho war schneller, auch wenn mein Workaround etwas ausgefeilter ist
ironie
Warum der Stress?
Passwort für Domänen-Admin per E-Mail rumschicken, Zeitung rauskramen und Stellenanzeigen raussuchen.
ironie off
Gruß
Edit: Verdammt goscho war schneller, auch wenn mein Workaround etwas ausgefeilter ist
Hallo,
habe auch ersteinmal gedacht, was will er da machen. Aber nu, das soll doch nicht unsere Entscheidung sein. Es gibt auch Software die nur als lokaler Admin ausgeführt werden darf. Auch wenn dies nicht unbedingt eine gute Software ist. Aber auch unser Konstruktionsprogramm benötigt Admin-Rechte (lokal). Wollte es nicht wahrhaben und habe lange herumgestrickt. Dann klappte es ansatzweise, und nach Update, wozu wir verpflichtet sind wg. Wartungsvertrag, klappte wieder nix. Auch hier habe ich die User zu lokalen Admins gemacht. Lt. 2 Systemhäusern wirds aber überall so gemacht.
Sehr unschön, aber was soll man machen
Aber waren auch keine 200, daher konnt ichs gut händisch machen.
Als Computerrichtlinien sollte es unter Computerkonfiguration-Einstellungen-Systemsteuerungseinstellungen-"Lokale Benutzer und Gruppen" gehen.
Hier dann AlleAufgaben und Hinzufügen - Hier dann aktualisieren auswählen ... rest erklärt sich von selbst.
Aber ich hab nix gesagt ... *psssst*
greetz
ravers
habe auch ersteinmal gedacht, was will er da machen. Aber nu, das soll doch nicht unsere Entscheidung sein. Es gibt auch Software die nur als lokaler Admin ausgeführt werden darf. Auch wenn dies nicht unbedingt eine gute Software ist. Aber auch unser Konstruktionsprogramm benötigt Admin-Rechte (lokal). Wollte es nicht wahrhaben und habe lange herumgestrickt. Dann klappte es ansatzweise, und nach Update, wozu wir verpflichtet sind wg. Wartungsvertrag, klappte wieder nix. Auch hier habe ich die User zu lokalen Admins gemacht. Lt. 2 Systemhäusern wirds aber überall so gemacht.
Sehr unschön, aber was soll man machen
Aber waren auch keine 200, daher konnt ichs gut händisch machen.
Als Computerrichtlinien sollte es unter Computerkonfiguration-Einstellungen-Systemsteuerungseinstellungen-"Lokale Benutzer und Gruppen" gehen.
Hier dann AlleAufgaben und Hinzufügen - Hier dann aktualisieren auswählen ... rest erklärt sich von selbst.
Aber ich hab nix gesagt ... *psssst*
greetz
ravers
Mach es nicht!
Wenn du wirklich davon überzeugt bist kannst du eine Gruppenrichtlinie auf dem DC erzeugen bzw. die Default anpassen und unter
Computerkonfiguration --> Windows-Einstellungen --> Sicherheitseinstellungen in "Eingeschränkte Gruppen" die Domain User in die Lokale Administratoren Gruppe bringen.
Vorsicht!!!: Diese Gruppenrichtlinie auf keinen Fall auf Server oder DCs anwenden!!!!
Und denk nochmal darüber nach ob du wirklich willst das jeder der 200 User seine Maschine oder die des Kollegen nach belieben schrotten kann.
Gruß
Andi
Wenn du wirklich davon überzeugt bist kannst du eine Gruppenrichtlinie auf dem DC erzeugen bzw. die Default anpassen und unter
Computerkonfiguration --> Windows-Einstellungen --> Sicherheitseinstellungen in "Eingeschränkte Gruppen" die Domain User in die Lokale Administratoren Gruppe bringen.
Vorsicht!!!: Diese Gruppenrichtlinie auf keinen Fall auf Server oder DCs anwenden!!!!
Und denk nochmal darüber nach ob du wirklich willst das jeder der 200 User seine Maschine oder die des Kollegen nach belieben schrotten kann.
Gruß
Andi
Hi Andi
Würde er dann diesen, von dir beschriebenen, Weg nicht schon kennen?
Einfach nach dem Motto: Mach et!
Zitat von @AndiEoh:
Mach es nicht!
Wenn du wirklich davon überzeugt bist kannst du eine Gruppenrichtlinie auf dem DC erzeugen bzw. die Default anpassen und
unter
Bist du wirklich davon überzeugt, dass der TO mit GPOs umgehen kann?Mach es nicht!
Wenn du wirklich davon überzeugt bist kannst du eine Gruppenrichtlinie auf dem DC erzeugen bzw. die Default anpassen und
unter
Würde er dann diesen, von dir beschriebenen, Weg nicht schon kennen?
Und denk nochmal darüber nach ob du wirklich willst das jeder der 200 User seine Maschine oder die des Kollegen nach belieben
schrotten kann.
Ich würde nicht so viel über die Folgen nachdenken.schrotten kann.
Einfach nach dem Motto: Mach et!
Hallo goscho
die "Eingeschränkte Gruppen" sind einfach so blöde benannt das es oft übersehen wird was eigentlich dahinter steckt und wenn man erstmal ein Schlagwort hat lässt es sich leichter suchen
Ob er das aber wirklich tun sollte ist die andere Frage. Die Folgen sind unter anderem:
- Jeder kann seine Maschine und die der Kollegen beliebig schrotten
- Jeder kann sich auf der Maschine des Kollegen anmelden und auf alle Dateien zugreifen, zur Not auch über das Netzwerk
- Falls die GPO auch auf Server angewandt wird kann man dort beliebig Freigaben erzeugen und Dateien lesen/schreiben
...
Also ich würde mir das von der GF gegenzeichnen lassen.
die "Eingeschränkte Gruppen" sind einfach so blöde benannt das es oft übersehen wird was eigentlich dahinter steckt und wenn man erstmal ein Schlagwort hat lässt es sich leichter suchen
Ob er das aber wirklich tun sollte ist die andere Frage. Die Folgen sind unter anderem:
- Jeder kann seine Maschine und die der Kollegen beliebig schrotten
- Jeder kann sich auf der Maschine des Kollegen anmelden und auf alle Dateien zugreifen, zur Not auch über das Netzwerk
- Falls die GPO auch auf Server angewandt wird kann man dort beliebig Freigaben erzeugen und Dateien lesen/schreiben
...
Also ich würde mir das von der GF gegenzeichnen lassen.
