[SBS 2003/XP] Lokale gebruikers verliezen lidmaatschap

[No13]

Hallo, mijn probleem is als volgt:

We hebben hier een domein met een SBS 2003 server als domain controller, hier hangen een aantal XP machines aan waarop developers moeten werken.

Af en toe is het nodig om op de machines een lokale gebruiker aan te maken voor bijvoorbeeld een service welke ontwikkeld moet worden of voor een SQL server instantie

Deze users worden op de workstations lokaal lid gemaakt van de administrators groep, dan werken de services weer prima en lijkt er geen vuiltje aan de lucht. Wanneer de volgende dag weer verder wil gaan heeft ineens de lokale gebruiker geen administrator rechten meer, hij is alleen nog lid van de groep users.

De systeem beheerder die de server heeft ingericht snapt niet goed waar het vandaan kan komen en ik zie zo geen directe aanleiding van dit probleem in de bestaande group policies, maar om heel eerlijk te zijn ben ik hier nog niet zo in thuis.

Weet iemand toevallig of dit probleem veroorzaakt kan worden door een GPO? of moet ik het in een andere hoek gaan zoeken?

In de search staan er massa's verwijzingen hoe je domein accounts lokaal administrator rechten kunt geven maar dit zijn dus GEEN domein users maar echt lokale gebruikers op de werkstations

[paulhekje]

check in de GPO's de Security setting "Restricted Groups". Daarmee kun je forceren dat een lokale admin groep leeg blijft.

[No13]

paulhekje schreef op dinsdag 18 oktober 2005 @ 14:00:
check in de GPO's de Security setting "Restricted Groups". Daarmee kun je forceren dat een lokale admin groep leeg blijft.

Meteen raak, het lijkt erop dat de systeembeheerder hier een steekje heeft laten vallen:

Om iedereen automatisch local administrator te maken heeft hij inderdaad deze policy ingesteld zodat de groep BUILTIN\administrators Domain Admins en Local admins (eigen group) bevat

Zou me dus nix verbazen als deze policy alle andere leden wist

ik denk dat het voorlopig is opgelost en anders laat ik nog wel van me horen

THNX

[-TAZZ-]

No13 schreef op dinsdag 18 oktober 2005 @ 15:26:
[...]

Zou me dus nix verbazen als deze policy alle andere leden wist

Deze GPO wist idd alle lokaal toegewezen users in de local admins groep. Alleen op de computers die je in je GPO gedefinieerd kun je aanmelden als local admins (=comp config setting).

Hier hebben we het als volgt ingericht:
- PC is lid van Local Admin PC groep.
- User is lid van een Workstation Admin groep.
- GPO met Restricted groups wordt alleen uitgevoerd op PC's die lid zijn van Local Admin PC groep.
- GPO voegt Workstation Admin groep toe aan de Local Admin groep.

[sanfranjake]

Maak je die gebruikers lid van Local Admins, en maak je die groep op alle pc's lid van Administrators? Heb je nog een beter zicht op wat er allemaal aan admins rondzweeft ook. Kan alleen niet met lokale accounts....