O que o SBS 2011 faz “sob o capô” quando você dá acesso a um usuário admin?

Question

Estou usando o Windows Server há muitos anos e quando tenho alguém que precisa de acesso de administrador local em sua máquina, eu o aplico por meio da diretiva de grupo de maneira semelhante para esta resposta .

Um dos meus clientes tem o SBS 2011 e, um dos recursos que é surpreendentemente bacana é o gerenciamento de usuários e a facilidade com que eles dão acesso ao administrador local:

Depoisdefazerisso,euestavatentandopesquisarpormuitotempoparaveroqueestavarealmenteaplicando"sob o capô", mas falhei - não consegui ver nenhuma política vinculada. configurações ou opções em qualquer lugar que seja aplicado.

Alguém sabe o que o SBS 2011 realmente faz quando você altera o Access level de um usuário e existe de qualquer maneira para replicá-lo facilmente em um servidor Windows não SBS?

    

Answer 1

O servidor SBS adiciona a conta de domínio ao grupo de administradores no computador local. Isso é feito através de uma chamada WMI para o computador selecionado do servidor SBS que coloca a conta no grupo de administradores locais.

Um método para realizar isso por meio do PowerShell seria:

Function Add-DomainUserToLocalGroup
{
    [cmdletBinding()]
    Param(
    [Parameter(Mandatory=$True)]
    [string]$computer,
    [Parameter(Mandatory=$True)]
    [string]$group,
    [Parameter(Mandatory=$True)]
    [string]$domain,
    [Parameter(Mandatory=$True)]
    [string]$user
    )
        $de = [ADSI]"WinNT://$computer/$Group,group"
        $de.psbase.Invoke("Add",([ADSI]"WinNT://$domain/$user").path)
} #end function Add-DomainUserToLocalGroup

Código originado do cara de script blog.

Isso pode ser replicado de um servidor não-SBS, desde que o computador ao qual você está adicionando o usuário seja parte do domínio, o usuário que excede o comando tenha permissões para adicionar um administrador local e tenha as exceções de firewall para "Gerenciamento Remoto do Windows" está habilitado para a rede da qual o comando teria origem.