Como o usuário de domínio não administrador pode alterar o Administrador do computador local?

Question

Em uma LAN do Windows Server 2003 / XP, os usuários de domínio não administrativo podem gerenciar os usuários e grupos do computador local, inclusive alterando a senha do Administrador e tornando-se administradores do computador local.

Como isso é possível e como posso preveni-lo?

    

Answer 1

Confirme que os funcionários não são administradores locais, verificando o grupo de administradores local na máquina.

Você deve conseguir removê-los criando um GPO que manipule o grupo de segurança local dos Administradores. Isso pode ser feito usando a seção "Grupos restritos" no seu GPO:

Configuração do computador - > Políticas - > Configurações do Windows - > Configurações de segurança - > Restrito Grupos

(NB: lembre-se de que isso substituirá o grupo de administradores locais com eficiência; portanto, inclua qualquer pessoa que precise ser um administrador local)

Ou, se você configurou as preferências de política de grupo, também pode usar isso para ter mais flexibilidade.