Как запретить пользователю вводить ПК в домен?

Question

[Данил]

Сделал как написано тут: https://habrahabr.ru/post/174437/ (но не трогал Default policy, а создал рядом свою)

Но по прежнему любой юзер может добавлять в домен. Что еще нужно настроить?

Answer 1

[Ethril]

https://support.microsoft.com/en-us/help/243327/de...

Comments

[Данил]

Читал, но разве так правильно делать?

[nfire]

Данил: если это написано на сайте майкрософта - то правильно.

Answer 2

[Saboteur]

Добавить ПК в домен может только Domain Administrator.
Что-то у вас не так с правами.

Comments

[Данил]

Добавить ПК в домен может только Domain Administrator.

М... я нечего не настраивал, все по дефолту. Установил винду 2012r2, накатал роль АД, добавил пользователя, который в группе "Пользователи домена" и все. Этот пользователь может добавлять другие ПК в домен. Как это убрать, чтобы только указанная группа могла?

[Данил]

SyavaSyava: Я хочу, чтобы для ввода в домен можно было использовать только выбранные мною учетные записи, а не все в подряд.

[Ethril]

Добавить ПК в домен может только Domain Administrator.

Сюрприз - может любой юзер, по дефолту до 10 машин.

[liks]

Ethril: и тут я охерел, для чего эта брешь вообще может пригодиться?

[Saboteur]

Ethril: Можно уточнить откуда информация?
Всю жизнь добавлять новые компы в домен NT или в Active Directory могли только админ домена или юзеры, входящие в Domain Admins security group

При попытке добавить комп в домен, должно быть что-то типа

[Данил]

liks: Вот и я задался таким вопросом

[Ethril]

Saboteur: Гуглите по "ms-DS-MachineAccountQuota". И да, вот в этом окошке забиваете реквизиты обычного юзера и готово :)

[Сергей]

ну да. всю жизнь обычный юзер до 10 компов вводил )

[Pavel Valeo]

Сергей, можно ли как-то эту херню отключить?))

Answer 3

[nfire]

Чисто теоретически, а чем плохо то, что пользователь может ввести компьютер в домен?

Comments

[Сергей]

поддерживаю. хапнуть массу гпо .. правда потом увидеть перечень всех учеток в поиске ... не айсс )