Как добавить пользователя домена в локальные администраторы?

Question

[Konkase]

Добрый день! Требуется определенного пользователя (support) сделать админом на локальной машине, при этом он не должны быть админом домена.

Делаю так:
Создал новую группу computer.admins в домене, добавил в неё пользователя support, к ней залинковал GPO, в GPO создал правило в "Группы с ограниченным доступом" и добавил туда нужного пользователя, но не работает. ЧЯДН?
Локальная группа Администраторы существует

Answer 1

[Сергей]

Ну ты локальных админов добавил в группы. А тебе надо пользователей добавить в локальные админы

Comments

[Konkase]

пробовал: имя группы - OFFICE\computer.admins, члены группы - OFFICE\support, член групп - BUILTIN\Админиатраторы

и так:
имя группы - OFFICE\computer.admins, члены группы - BUILTIN\Админиатратор, член групп - BUILTIN\Админиатраторы

не работает. gpupdate и reboot делал, остальные политики применяются

[Сергей]

Не.. так не пойдет. Нужно на локальных компьютерах добавлять доменных пользователей в группу BUILTIN\Администраторы
Попробуйте создать группу в АД. И добавьте ее в локальные админы на компьютерах.
Потом можно будет в эту группу пихать пользователей.

[Konkase]

Ну данная схема работает, но тут 2 серьёзных НО:
1) Как это сделать на овер9000 машинах (опять же gpo)
2) Если пользователь состоит в группе BUILTIN\Администраторы он может установить себе консоль управления и быть админом домна, хотя в GPO в явном виде это запрещено.

Помогите разобраться в данных вопросах

[Сергей]

@Konkase Цитирую:

Добавить пользователей в локальные группы довольно просто, достаточно создать синоним локальной группы Администраторы и добавить туда нужную доменную группу (или отдельных пользователей).  Тогда члены этой группы станут локальными администраторами и смогут входить на любую рабочую станцию с административными привилегиями.

А вообще вот:
windowsnotes.ru/windows-server-2008/dobavlyaem-dom...

[Сергей]

Что-то с цитатой косяк вышел...
вот:

"Добавить пользователей в локальные группы довольно просто, достаточно создать синоним локальной группы Администраторы и добавить туда нужную доменную группу (или отдельных пользователей). Тогда члены этой группы станут локальными администраторами и смогут входить на любую рабочую станцию с административными привилегиями."

[Сергей]

На счет второго пункта - Распространяйте политику не на серверы, а на рабочие станции. И пользователь не станет администратором домена

[Konkase]

С правами на консольки разобрался. По поводу первого вопроса, делаю всё так как написано в инструкции (получается так как я уже писал: (OFFICE\computer.admins, член групп - BUILTIN\Админиатраторы) но админские права всё равно не выдаются

[Сергей]

@Konkase LogOFF - LogON делали? Перелогиниться надо обычно.

[Konkase]

Делали. и gpupdate делали и ребут

[Сергей]

@Konkase Странно. Значит косяк где-то. По идее должно работать.

Answer 2

[Иван Трофимов]

Создавай группу с ограниченным доступом "Администраторы", а в неё уже добавляй доменную группу пользователей (или самих пользователей домена).