Gebruikers Administrator rechten geven

[Verwijderd]

Heb hier een Server 2008 standaard staan.
Echter heb ik een groep Administrator rechten gegeven en hier alle gebruikers aan toegevoegd
maar helaas krijgen de gebruikers geen administrator rechten...

Hoe zou dit kunnen...?
Heb al Security groups en Distributrion groups geprobeerd.

[bertje]

Heb je ze toegevoegd aan de lokale administrators groep (werkstation) of in de active directory?

[Verwijderd]

Overigens als ik de groep Administrators aan de gebruiker toevoeg werkt het ook niet...

[Verwijderd]

In de active directory. Wanneer ik Domain Admins toevoeg dan hebben ze wel alle rechten.
Echter zit ik dan met het probleem dat een gebruiker dan onder de naam van iemand anders naar buiten kan mailen in Outlook en dat is ook weer niet de bedoeling...

[Dennahz]

Je moet ze op de werkstations ook nog administrator rechten geven.

[jjbstolk]

Wat wij meestal doen is een aparte groep aanmaken ""grp-localadmin", deze voegen we via een policy toe aan de lokale administrator groep en dan kan je personen toevoegen aan deze groep. Iedereen die dan lid is van deze groep heeft dan administrator rechten (Denk er wel om dat mensen opnieuw moeten inloggen).

[mbaltus]

De aanpak van jjbstolk is inderdaad de beste. Maar ik zou nog steeds bekijken waarom iedereen local admin moet zijn. Op de server iedereen admin maken lijkt me geen goed bedrijfsbeleid. Je geeft de sleutels van de administratie en kluis ook niet altijd aan iedereen. Het lijkt me verstandig dat je voor jezelf vaststelt wat je wilt bereiken en daar een oplossing voor bedenkt.

Rechten overigens altijd via een Security groep. Een distribution groep is zo-ie-zo niet zo nuttig, dat is bestemd voor maillijsten.

[r0b]

mbaltus schreef op woensdag 17 juni 2009 @ 12:49:
Maar ik zou nog steeds bekijken waarom iedereen local admin moet zijn.

Die discussie is al zo oud als Active Directory zelf meen ik. Het hangt zeer sterk af van het soort gebruikers dat je hebt.
Bij ons op het werk; 40 developers + ander geek volk kunnen ze gerust local admin rechten hebben. Bij m'n vriendin op haar werk (incassobureau, pencil pushers..) beter van niet.

[ Voor 6% gewijzigd door r0b op 17-06-2009 13:01 ]

[mbaltus]

r0b schreef op woensdag 17 juni 2009 @ 13:00:
[...]
Die discussie is al zo oud als Active Directory zelf meen ik. Het hangt zeer sterk af van het soort gebruikers dat je hebt.
[...]

Helemaal mee eens! Vandaar ook mijn opmerking. In de beide gevallen die je noemt, is er dus over nagedacht.
Wij hebben zat klanten waar (nagenoeg) iedereen Local Admin is. Bijna altijd met een goede reden. Maar als je het doet omdat het dan lekker makkelijk is dat alles goed werkt, dan vraag ik me af of je goed bezig bent.

Uit de aanpak van TS vermoede ik dat hij gewoon maar rechten uitdeelde zonder te kijken of het werkelijk nodig is.

Voor de TS: kijk nog eens naar Wikipedia: AGDLP voor een goede uitleg/aanpak

[Verwijderd]

Het is de bedoeling dat iedereen zelf zijn firewall kan beheren.
Dat iedereen zelf elk programma kan installeren.
Dat iedereen zelf extern bureaublad aan en uit kan zetten.
Dat iedereen zelf achtergronden kan wijzigen.
En dat iedereen zelf software kan verwijderen.

Is administrator rechten dan de juiste optie?

[mbaltus]

Dan ontkom je inderdaad niet aan admin.rechten. Met Power User kom je nog wel een heel eind, maar lang niet bij alles wat je wilt.
Mijn advies is dan wel om vervolgens het e.e.a. terug te scopen met het zetten van beperkingen met GPO. De ervaring leert dat je anders behoorlijk wat onderhoud krijgt aan PC's die niet meer werken.

[Verwijderd]

Dan nog wel een vraagje...
Ik heb gedaan wat JJBStolk zei:
Wat wij meestal doen is een aparte groep aanmaken ""grp-localadmin", deze voegen we via een policy toe aan de lokale administrator groep en dan kan je personen toevoegen aan deze groep. Iedereen die dan lid is van deze groep heeft dan administrator rechten (Denk er wel om dat mensen opnieuw moeten inloggen).

Dus de groep aangemaakt.
Alleen waar in de Policy kan ik het onderdeel vinden van de lokale administrator groep.
Ik heb het wel gevonden onder Control Panel Settings. Maar die pakt hij niet....
Ik denk dat hij nog ergens anders moet staan...

[mbaltus]

Google maar eens op Restricted Groups
(in de GPO te vinden onder Computer Configuration\Windows Settings\Security Settings\Restricted Groups)

[Verwijderd]

Ik krijg het met geen mogelijkheid voor elkaar.
In het volgende Computer Configuration\Windows Settings\Security Settings\Restricted Groups
Heb ik nu staan:
Groupname= domein\grp-localadmin
Members= wimnele
Member of= Administrators

Ook in de AD heb ik wimnele lid gemaakt van de groep grp-localadmin.
En dan nog heeft de gebruiker geen administrator rechten....

[Verwijderd]

Heb dit artikel ook gevolgd:
http://www.windowsecurity...ng-Restricted-Groups.html
Maar helaas de gebruiker heeft nog steeds geen admin rechten.......

[mbaltus]

En nadat je de wijziging hebt doorgevoerd heb je de PC waarop het terecht moet komen opnieuw opgestart?
Wat geeft een RSoP en dergelijke tools weer?

[Verwijderd]

Heb de PC nu ook opnieuw opgestart. Haalt niets uit.
Zelfs server herstart.. RSoP geeft netjes dezelfde instellingen weer op het werkstation...
Wat doe ik verkeerd?

[Verwijderd]

Ik ben ten einde raad... heb nu alle mogelijke manier via dat de GPO wel gehad denk ik... Maar het wil maar niet werken... Is er nergens iets op internet te vinden waar dit stap voor stap wordt beschreven?

[Verwijderd]

Ik heb het nu exact uitgevoerd zoals op deze website vermeld...
Zonder succes... http://www.frickelsoft.net/blog/?p=13

[Verwijderd]

SP2 geinstalleerd voor Windows Server 2008 64bits en het ging in eens wel... vreemd...
Probleem opgelost.

[Equator]

Beste Wimnele:
Het zou je ondertussen toch bekend moeten zijn dat het niet de bedoeling is om voor elke update een nieuwe post te maken. De laatste 4 posts van jou hand hadden prima in 1 post gekund. Je kan daar de edit knop voor gebuiken:

Wat betreft je probleem: Dat is vrij basic configuratie spul, wat je ook gewoon via Google had kunnen vinden.
Waarschijnlijk wil jij dat het allemaal meteen werkt, en hou jij geen rekening met het feit dat een policy aanpassing wel eens wat langer duurt om volledig door te voeren.

Verder heeft je probleem weinig te maken met Netwerken. Je had het beter in Serversoftware en Windows Servers kunnen plaatsen.

Hoe dan ook: Je topic gaat op slot