Por que os administradores de domínio adicionados ao grupo de administradores locais não se comportam da mesma forma?

Question

Minha pergunta é ...

Como concedo aos administradores de domínio os mesmos direitos na conta interna "Administrador" quando adiciono um novo servidor ao domínio para evitar que os administradores de domínio escalem constantemente as permissões além do que parecem ter?

EDITAR:

Isso parece causar alguma confusão, então ...

Eu tenho um domínio, com um grupo de administradores de domínio do qual sou membro. Eu tenho um novo servidor, apenas ingressou no domínio, e nesse servidor eu posso fazer o login porque o grupo local "Administradores" tem um membro "Admins. Do Domínio".

Portanto, como administrador de domínio neste servidor, também sou considerado como administrador local.

Agora digamos que eu queira instalar um novo aplicativo no servidor e isso requer direitos de administrador.

Eu clico com o botão direito do instalador, seleciono "Executar como Administrador" e obtenho a caixa de diálogo usual do UAC.

Eu coloquei minhas credenciais lá (da minha conta de domínio, as mesmas credenciais que eu usei para acessar o servidor) ... e ele rejeita essas credenciais com a mensagem de validação ... "A operação solicitada requer elevação".

Então minha pergunta é ...

Por que minhas credenciais de administrador de domínio não são suficientes para permitir que eu atue como administrador local quando estou no grupo Admins. do Domínio que é membro do grupo Administradores local?

Em vez disso, preciso "elevar" minhas permissões para a conta chamada "Administrador" na máquina local antes que minha conta receba os direitos para fazer a instalação.

    

Answer 1

O artigo link do Microsoft TechNet fornece uma resposta perfeita para isso ; e tem a ver com o fato de que até mesmo as contas de "Administrador local" ainda são executadas com tokens de "usuário padrão" para a atividade normal do dia a dia.

What does "running with a full administrator token" or "running with an elevated token" mean in User Account Control?

Applies To: Windows Server 2008 R2

Applications normally run with the level of access granted in a standard user access token, even if the applications are started by a user that is a member of the local Administrators group. "Running with a full administrator access token," sometimes referred to as "running with an elevated access token," means that an application is allowed to use the user's full administrator access token, which includes the administrator security identifiers (SIDs).

Note The user must be logged on as a local administrator or be able to provide credentials for a member of the local Administrators group.

Nota: Embora o artigo se aplique ao Server 2008 R2, o mesmo se aplica a todas as versões modernas de cliente e servidor do Windows.