[nt4] alleen local admin op clients

[kwtemp874]

Waarschijnlijk is het een ongelooflijke noob vraag,
maar hoe maak ik op een nt4 domein een account aan wat alleen lokaal administrator is op alle werstations en alleen server operator op de servers?

[ Voor 2% gewijzigd door kwtemp874 op 03-07-2003 19:37 . Reden: typo ]

[sverzijl]

De global goup ServerOperators (hm bestaat die? ik heb hier geen NT4 bij de hand) toevoegen aan Administrator group op alle clients. En vervolgens een nieuwe user lid maken van de serveroperator group.

(Default is volgens mij alleen de server administrator group op de server ook admin op de clients.)

[Frostbite]

lijkt me dat je een gebruiker op de machines maakt "Beheerder" met wachtwoord 12345 (voorbeeld) en op de server hetzelfde.
Lokaal zet je beheerder als admin en hetzelfde doe je op de server.

Dus de admin naam moet lokaal en op de server gelijk zijn (en wachtwoord ook)

[Zwelgje]

sverzijl schreef op 03 July 2003 @ 19:40:
De global goup ServerOperators (hm bestaat die? ik heb hier geen NT4 bij de hand) toevoegen aan Administrator group op alle clients. En vervolgens een nieuwe user lid maken van de serveroperator group.

(Default is volgens mij alleen de server administrator group op de server ook admin op de clients.)

gek, je wilt toch je users geen serveroperator maken

Global groep aanmaken (bv Local Workstation Admins) en hier alle users instoppen, vervolgens deze groep lidmaken van de 'administrators' groep op je pc's (lokaal dus) en een lokale groep op je DC aanmaken, waar je deze users ook instopt en deze local group lidmaken van de global group 'server operators'

dat is de enigste manier

EDIT: even te snel gelezen... excuus sverzijl

[ Voor 20% gewijzigd door Zwelgje op 03-07-2003 19:47 ]

[kwtemp874]

nou, het gaat erom dat alle stagaires bij ons geen domain admins meer zijn maar wel local admins.

Is er een manier dat je niet alle werkstations langs hoeft?

[Zwelgje]

kwtemp schreef op 03 July 2003 @ 19:45:
nou, het gaat erom dat alle stagaires bij ons geen domain admins meer zijn maar wel local admins.

Is er een manier dat je niet alle werkstations langs hoeft?

middels een tooltje als 'hyena' en dan via remote alle pc's bijlangs, wel veel werk, maar je hoeft je werkplek niet te verlaten

[kwtemp874]

hyena werk ik dagelijks mee, dus dat is het probleem niet.

Maar vroeger heb ik eens bij de Abn-Amro gewerkt, en mijn chef deed het in 10 minuten.

Dus, of het kan makkelijker, of hij had het al jaren voorbereid.

[Zwelgje]

kwtemp schreef op 03 juli 2003 @ 19:58:
hyena werk ik dagelijks mee, dus dat is het probleem niet.

Maar vroeger heb ik eens bij de Abn-Amro gewerkt, en mijn chef deed het in 10 minuten.

Dus, of het kan makkelijker, of hij had het al jaren voorbereid.

dan had ie waarschijnlijke SUSS.EXE uit de nt4 resourcekit geinstalleerd op al zijn nt4 clients..

* Zwelgje gebruikte dat ook op zijn werkstations toendertijd...echter het was niet echt veilig

[sverzijl]

zwelgje schreef op 03 July 2003 @ 19:42:
[...]
EDIT: even te snel gelezen... excuus sverzijl

ik schrok al.
maar dat ik gek ben klopt wel hoor

[kwtemp874]

ok, er is dus geen enkele manier om dit in 1 keer te doen?

heb ik een mooie opdracht voor een stagaire komende week ;-)

[[ash]]

Maak een groep aan op je domein, met de naam 'Local Administrators', koppel deze groep op ieder werkstation aan de 'Administrators' Groep. De users die lid zijn van 'Local Administrators' zijn dan alleen admin op de werkstation.

En koppel ik al die groepen op de werkstation ? das simpel met een scriptje, maar ga natuurlijk niet alles voorkauwen _{(heb ff geen tijd)}

[Zwelgje]

[ash] schreef op 03 July 2003 @ 20:08:
Maak een groep aan op je domein, met de naam 'Local Administrators', koppel deze groep op ieder werkstation aan de 'Administrators' Groep. De users die lid zijn van 'Local Administrators' zijn dan alleen admin op de werkstation.

En koppel ik al die groepen op de werkstation ? das simpel met een scriptje, maar ga natuurlijk niet alles voorkauwen _{(heb ff geen tijd)}

dat scriptje draait onder de context van de huidige ingeloggde user.. die dus niet genoeg rechten heeft om dit uit te voeren

das nml het hele probleem in deze

[kwtemp874]

en nt kent natuurlijk geen "elevated user rights"

[[ash]]

zwelgje schreef op 03 July 2003 @ 20:09:
[...]


dat scriptje draait onder de context van de huidige ingeloggde user.. die dus niet genoeg rechten heeft om dit uit te voeren

das nml het hele probleem in deze

Kennelijk is hier weinig NT kennis, die groepen koppelen doe je remote

Als ik wat meer tijd had gehad, had ik het e.a. voorgekouwd.

[kwtemp874]

nou. lach je niet helemaal een stuip, maar ben mcse nt4 en 2000.

Heb helaas het probleem gehad altijd bij zulke grote bedrijven gedetacheerd te zijn dat je maar een heel klein gedeelte mag doen.

Nu ben ik -bijna- in vaste dienst bij een klein bedrijf, en ik heb bijvoorbeeld voor het eerst eens met Wins gespeeld.
Ken de theorie wel , maar de praktijk niet.

Lachen trouwens dat wins voor Windows INTERNET naming service staat.

[Zwelgje]

[ash] schreef op 03 July 2003 @ 20:18:
[...]

Kennelijk is hier weinig NT kennis, die groepen koppelen doe je remote

Als ik wat meer tijd had gehad, had ik het e.a. voorgekouwd.

kennelijk heerst hier kortzichtigheid door gelijk te concluderen dat er weinig nt4 kennis is..

uiteraard kan je dat ook remote doen, maar niet altijd is die optie er, (wan verbindingen etc,etc)

[kwtemp874]

ok, en hoe doe ik het remote?

[Verwijderd]

Creatief met je aanlog script en kix omgaan is m.i. de gemakkelijkst optie.

Client logt aan, logon script genereerd een signaal van hey ik is 'online' en mijn computernaam is .... Dan remote met een script de desbetrefende group in de local admin smijten. Duurt ook even maar na een x aantal dagen als alle machine overnieuw opgestart zijn moet alles goed staan.

*edit*

kwtemp schreef op 03 July 2003 @ 20:30:
ok, en hoe doe ik het remote?

Ik heb ooit zoiets geschreven, zal er even voor moeten zoeken maar is anzich helemaal niet zo moeilijk, zeker in combinatie met kix als scripting tool.

[ Voor 30% gewijzigd door Verwijderd op 03-07-2003 20:32 ]

[Verwijderd]

Okay ik kan het script niet meer vinden maar the next best thing wel

http://is-it-true.org/nt/atips/atips287.shtml

2 oplossingen die je kan gebruiken, komt nog steeds wat scripting bij maar hey dat is toch de uitdaging. (met zowel mcse NT4 en W2k moet dit een eitje voor je zijn )

http://is-it-true.org/nt/atips/atips34.shtml is je beste kans

[ Voor 12% gewijzigd door Verwijderd op 03-07-2003 20:53 ]

[[ash]]

Doe dit aub niet met een aanlog script o.i.d. het kan gewoon middels CMD, morgen ben ik weer op mijn werk en daar kan ik het e.a. opsnorren wat ik ooit gemaakt heb.

In het aanlog script regel je die dingen die nodig zijn voor een gebruiker, denk aan drive-mapping. En een aanlog script kan je het best zo statisch mogelijk houden, dus ga het aanlog script niet misbruiken voor dit soort zaken. Het kan technisch wel, maar het is niet de manier van werken.

Het beste is om een scriptje te hebben die je van jouw pc runt en die gewoon een bepaalde actie op alle werkstations uitvoert.

Ben trouwens ook MCSE NT4 en 2000, maar dat zegt helemaal niks, ik heb die papieren alleen gehaald omdat mijn werkgever dit verlangde, niet om kennis van NT4 en 2000 op te doen.

edit:
toch nog ff wat gedaan

Ben nu al ff aan het zoeken geslagen, te tool die je moet gebruiken is 'addusers.exe' uit de resource kit.

Heb jij een lijstje met namen van al je werkstations, zo ja. Dan kan ik morgen wel ff snel een scriptje voor je in elkaar schroeven.

edit:
kon niet wachten tot morgen

Ik ga uit van het volgende:

• een bestand met daarin alle werkstations, ik noem hem hier wkslist.txt en ziet er als volgt uit:
  
  code:
  

  WKS01
  WKS02
  WKS05

• een bestand met welke groepen je wilt koppelen, ik noem hem hier [b]addgroup.ini[/b] en ziet er als volgt uit: [code] [User] [Global] [Local] Administrators,,domain\localAdmins [/code]
• Deze 2 bestanden dienen samen met het script en addusers.exe in één directory te staan.

Het scriptje komt er dan alsvolgt uit te zien, het is opzich maar 1 regel en mag je dus ook op de command-line in tikken (let dan wel, dat het %i is en %~dp0 wordt weggelaten).

code:

@ECHO OFF
FOR /F %%i IN ( %~dp0wkslist.txt ) DO %~dp0addusers.exe \\%%i /c %~dp0addgroup.ini

voor meer info zie de addusers help file op de resource kit cd.

Succes ermee,

Mocht je geen lijst van werkstations hebben, je kan dan met netdom.exe een lijst genereren. Nog mooier is omdat in bovenstaand script te verwerken.

[ Voor 50% gewijzigd door [ash] op 03-07-2003 23:37 ]

[kwtemp874]

ash, bedankt, maar het is al opgelost.

allemaal bedankt!!