Usuário com privilégios de administrador local em um domínio DC Win 2008 AD

Question

Eu tenho um Windows Server 2008 AD domain , com 2 controladores de domínio, um com Windows Server 2008 , o outro com Windows Server 2008 R2 . O segundo é o DC principal.

Gostaria de criar um usuário que seja um local administrator do primeiro controlador de domínio ( windows server 2008 ), mas não possa acessar, por exemplo, a pasta compartilhada do outro controlador de domínio ou usar a conta para registrar com mstsc em outro membro do DC, então não tem que ser um domain administrator .

Isso é possível?

    

Answer 1

Não existe usuário local em um controlador de domínio, apenas usuários do domínio.

Quando você promove um computador a um DC, ele copia todos os usuários do SAM local para o domínio e para usando o SAM.

O SAM local ainda está lá, mas é usado apenas no modo de restauração dos serviços de diretório.

Você pode fazer algo como torná-los um usuário comum, limitar seus recursos de logon a apenas essa máquina e, em seguida, delegar tarefas de AD que possam ser necessárias (adicionar usuários, desbloquear contas, etc.).