[2003/XP] Hoe deel ik via de AD locale admin rechten uit?*

[Verwijderd]

Ik heb voor het automatisch installeren van Norton AV op de werkstations locaal ADMIN rechten nodig. Nu loggen de werkstations in op het domein. Hierdoor hebben ze lokaal geen gebruikers nodig. Dit wil ik ook zo houden.

Nu zoek in naar de policy setting waarmee ik Administrator rechten voor de client kan geven zonder dat ik meteen local admin aan moet zetten. Deze laatste is n.l. voor het domein dus ook voor de computers van het domein.

Iemand een idee??


Bedankt

[Zuig]

hoe wil je dit gaan installeren dan, via een policy, NAV Corp edition???
als je nl. toch inlogt om te installeren is het weer een heel ander verhaal.

En als het goed is is administrator (domein account) lid van domain admins, dus die is automatisch op alle clients local admin.

[Verwijderd]

Nee het is de bedoeling dat de mensen inloggen en dan via Vplogon.bat als loginscript de installatie van NAV krijgen.

[Zuig]

Ik zou er een startup script van maken, deze installeert onder je system account en heeft hier als het goed is voldoende rechten voor. Dan zijn trouwens je machines beveiligt tegen virussen voordat er iemand inlogt.

[Verwijderd]

Voor een paar computers werkt dat wel. Maar ik wil juist niet alle computers langs om de installatie op te starten.

Het moet zo zijn dat de gebruikers op hun eigen computer, lokaal dus, admin rechten hebben, maar dat niet op het domein.

Er zijn lokaal geen gebruikers aanwezig. Dus je kunt zonder server niet inloggen op de systemen.

Ik denk dat het mogelijk moet zijn om via een policy setting lokaal admin rechten uit te delen. Hierdoor kunnen de gebruikers op hun computer doen wat ze willen zonder dat ze hierdoor rechten hebben in het domein.

Ik kan deze policy niet vinden. Ik wil eigenlijk geen andere weg bewandelen. Dit kost veel te veel tijd.

Ik hoor het graag

[Zuig]

Eigenlijk wil je dus zowiezo al je gebruikers local admin maken op hun eigen machine.
even paar vragen dan:
* mogen ze ook local admin op andere machines zijn?
* mogen ze op ander machines aanloggen?
* moeten ze altijd local admin blijven op hun machine

btw. als je er een start-up script van maakt hoef je dus niet alle machines langs. gewoon een policy bouwen om het startup script actief te krijgen en dan alle machines laten booten.

En nee je kan niet via een policy local admin rechten geven. kan wel via een script, laat maar weten als je dat zou willen doen.

[Verwijderd]

Ik zou beide methode wel willen weten. Dan kan ik kijken wat in de verschillende situaties de beste werkwijze is. Heb jij de scripjes liggen of hoe??


Dus: een start-up script zonder dat ik de computers langs hoef.

En: local admin rechten via een script.

Is dit te doen voor jouw

[Zuig]

ligt eraan hoe je je local admins wil neerzetten, ik kan wel even wat voor je maken zodat je een global security group rechten kan geven op de client machines als locale admin en hier kun je dan weer de gebruikers inhangen die local admin moeten zijn.

* voordeel: gebruikers hoeven geen domain admin te zijn
* nadeel: ze zijn dan local admin op ALLE pc's

scriptje komt eraan geef me even een paar minuten ...

Hier het scriptje

code:

option explicit

Dim objWSShell

Set objWSShell = CreateObject("WScript.Shell")

'wscript.echo "net localgroup administrators domain\groupname /add"
objWSShell.run "net localgroup administrators domain\groupname /add",0,True

Je moet dan dus "domain\groupname" vervangen door jouw ad domain en de global security group die je hiervoor aanmaakt.

even in notepad plakken en *.vbs noemen.

[ Voor 48% gewijzigd door Zuig op 02-04-2004 17:36 . Reden: scriptje klaar ]

[Verwijderd]

Perfect, is voor mij genoeg voor het moment,

Ik w8t

[F_J_K]

offtopic:
Ik verwijder wat ???? uit de topictitel, een is wel genoeg om aan te geven dat iets een vraag is
Over welke OSsen heb je het trouwens; dat willen we altijd graag weten in WOS, ik zal het dan ook even in de titel zetten als ik het weet
Verder niets toe te voegen, behalve te zeggen dat het niet heel erg veilig is en je nog welkom te heten

[Zuig]

F_J_K schreef op 02 april 2004 @ 17:43:

offtopic:
Ik verwijder wat ???? uit de topictitel, een is wel genoeg om aan te geven dat iets een vraag is
Over welke OSsen heb je het trouwens; dat willen we altijd graag weten in WOS, ik zal het dan ook even in de titel zetten als ik het weet
Verder niets toe te voegen, behalve te zeggen dat het niet heel erg veilig is en je nog welkom te heten

Toch even ontopic F_J_K, hoe bedoel je niet heel erg veilig, in mijn ogen is dit veiliger dan iedereen domain admin maken ... of praten we langs elkaar heen

[Verwijderd]

Ik heb een win 2k3 server draaien.
OS werkstation = XP

Bedankt voor de welkom

[elevator]

Ik pas je topic titel even aan - wat F_J_K (denk ik ) bedoelde met niet heel erg veilig is dat iedereen administrator maken in een netwerk eigenlijk gewoon een slechte setup is - en vragen om problemen is

[F_J_K]

Zuig schreef op 02 april 2004 @ 17:47:
Toch even ontopic F_J_K, hoe bedoel je niet heel erg veilig, in mijn ogen is dit veiliger dan iedereen domain admin maken ... of praten we langs elkaar heen

Dat is inderdaad zeker waar, ik doelde op het ueberhaupt (lokale) admin maken van de users. In veel te weinig woorden, sowwy

_{Maar goed, dit is een discussie voor in Beveiliging & Virussen}

offtopic:
titel iets aangepast, leuk voor de search (al werkt het ook prima in 2k)

edit:

ele

[Verwijderd]

Uitgevoerd zoals besproken. Maar heb nog steeds de melding op de XP comp dat ik geen admin rechten heb. Dus geen installatie van NAV.

Ik ga verder zoeken.

[Verwijderd]

Het zou het mooiste zijn als het mogelijk is om het login script te laten runnen met het "run as" gebeuren. Hierdoor zou de installatie van Norton Antivirus Client wel goed verlopen en de gebruikers geen permanente Local admin worden.

Is dit via een aanpassing van het Vplogon.bat of zo mogelijk?

[Zuig]

Verwijderd schreef op 02 april 2004 @ 18:25:
Het zou het mooiste zijn als het mogelijk is om het login script te laten runnen met het "run as" gebeuren. Hierdoor zou de installatie van Norton Antivirus Client wel goed verlopen en de gebruikers geen permanente Local admin worden.

Is dit via een aanpassing van het Vplogon.bat of zo mogelijk?

Ja en nee, het kan wel, maar dan moet je ook een password in je bat file zetten, en dat is heeeeel onverstandig.

kijk eens via compmgmt.msc of de groep wel ik de administrators groep voor komt, ik ga ervanuit dat je het scriptje wel hebt aangepast naar het juiste domein en global group ??

[Verwijderd]

Ik las tijdje terug in een paar andere topics dat er ook een andere versie van Runas is (niet gratis) met deze tools kun je ook scripts maken en ze volgens encoderen.

Moet je denk maar ff googlen

[redfoxert]

Waarom distribueer je die installatie van dat pakket niet lekker via Active Directory zelf ? Je kan die software meteen bij het booten laten installeren op het moment dat de client zich aanmeldt op het netwerk. Zelfs nog voordat de user ingelogd is. Hiervoor heb je niks nodig op de lokale machine, zelfs geen local admin rechten.

Das volgens mij de mooiste en simpelste oplossing.

[Zuig]

redfoxert schreef op 02 april 2004 @ 20:05:
Waarom distribueer je die installatie van dat pakket niet lekker via Active Directory zelf ? Je kan die software meteen bij het booten laten installeren op het moment dat de client zich aanmeldt op het netwerk. Zelfs nog voordat de user ingelogd is. Hiervoor heb je niks nodig op de lokale machine, zelfs geen local admin rechten.

Das volgens mij de mooiste en simpelste oplossing.

Dat klopt dan installeer je de software onder system account. heb ik ook al min of meer voorgesteld, maar wil ie blijkbaar niet ...

[mutsje]

volgens mij moet de TS eerst eens een cursus permissions en NAV Enterprise Edition gaan volgen. Je zet gewoon een NAV Enterprise server op , installeerd NAV client onder het System account en laat em om de XXX tijd pollen naar nieuwe dat files... kind kan de was doen hier.

[Zuig]

mutsje schreef op 02 april 2004 @ 22:42:
volgens mij moet de TS eerst eens een cursus permissions en NAV Enterprise Edition gaan volgen. Je zet gewoon een NAV Enterprise server op , installeerd NAV client onder het System account en laat em om de XXX tijd pollen naar nieuwe dat files... kind kan de was doen hier.

True, works for me

[Verwijderd]

scriptje werkt heel goed overigens, ik was wel niet diegene die het vroeg, maar ik gebruik het wel