Как реализовать ограниченного администратора в Windows?

Question

[pkruglov]

Нужно, чтобы администратор не мог выполнять некоторых действий, например, чистить системные логи. В остальном нужно, чтобы его права были полными. Возможно ли это как-то реализовать на Windows 2008?

Answer 1

[ntkt]

В общем случае это невозможно. Доменный администратор может вернуть себе любые права.

Выход — пересматривать политику безопасности, выдавать административные полномочия минимальному числу людей.
Логи форвардить на выделенные сервера, доступ к которым регулировать отдельно и т.д.
Начиная с 2008 есть выделенные группы для «чукча-читателей логов» — «Event Log Readers».

Comments

[pkruglov]

Спасибо, этот ответ мне понятен. Думал, может быть есть какие-то решения на грани черной магии — уровня ядра и так далее.

Answer 2

[t_q_l]

Нужно, чтобы администратор не мог выполнять некоторых действий, например, чистить системные логи. В остальном нужно, чтобы его права были полными. Возможно ли это как-то реализовать на Windows 2008?

Если проблема только в том, чтобы сохранять логи, то логи можно писать на удалённый сервер.