Wat je moet doen is het handigste via de GPO te doen.
Je kunt via de Computer Configuration \ Windows Settings \ Restricted Groups policy hetvolgende doen.
Maak de INTERACTIVE groep lid van Administrators. Wat je hiermee bereikt is dat wanneer de GPO wordt toegepast de lokale Administrators groep wordt uitgebreid net de INTERACTIVE groep. Dit heeft tot gevolg dat *IEDEREEN* die op dit werkstation inlogd local admin is. Vanzelfsprekend ben je dat alleen op het betreffende werkstation en niet in het domain.
(Let op, je kunt INTERACTIVE niet via Browse kiezen, je moet dit zelf intypen!!!)
Dit vindt je nergens terug op het internet, ik ben er zelf tijden mee beziggeweest. Eerst heb ik de Domain Users gekoppeld aan de Administrators groep, maar dan treedt onderstaand verschijnsel op:
Let op, je zou wellicht denken dat je de groep Domain Users (of een andere domain groep) moet toevoegen aan de administrators groep. Hiet zit echter een addertje onder het gras. Via het domain model vloeien deze rechten naar iedereen door die behoort tot de betreffende groep. Vervelend randverschijnsel is dat ook iedereen gebruik kan gaan maken van de administrative shares (C$, D$, etc). Het domain is immers " globaal". Iedereen kan dus op elkaars werkstation grappen gaan uithalen. Ik ben er door schade en schande achtergekomen, maar bespaar jezelf deze ellende.
Dus.. De INTERACTIVE groep (is een lokale groep waar iedereen die inlogt member van is) is het enige middel. Je kunt alleen niet per user aangeven wie local admin is en wie niet, maar wel per werkstation.
Oh, ik zou het bijna vergeten. De plaats van de GPO, daar vroeg je ook iets over. Het handigste is het om je werkstations in een aparte OU te zetten. Op deze OU zet je een policy waarbij je bovenstaande instellingen hanteert. Zet dit soort grappen niet in de Default Domain Policy. Je wilt immers geen gerotzooi op je servers (die krijgen deze namelijk ook door). Ook logon locally e.d. niet aanpassen. Laat de Default Domain policy wat betreft het openzetten van security asjeblieft ongemoeid. Deze is wel van belang voor andere zaken. Devies, maak een aparte policy voor werkstations.
[
Voor 62% gewijzigd door
Verwijderd op 12-06-2004 12:48
]
