Como projetar o ADS para que apenas os nomes de computador selecionados possam ingressar no domínio

Question

Eu estou querendo saber se alguém pode me ajudar em dois cenários mais críticos do ponto de vista da segurança.

1) Primeiro, podemos projetar um ADS no Domínio de modo que somente o nome do computador selecionado e predefinido possa ingressar nos domínios. todos os outros nomes de computador não devem ser autorizados a ingressar no domínio, independentemente dos direitos dos usuários.

2) Em segundo lugar, se de alguma forma (por engano ou intencionalmente) nome do computador diferente do nome predefinido poderia juntar os domínios, então, nesse caso, após o logon no domínio, o usuário deve receber aviso pop up para alterar o nome do computador para seu nome predefinido original, caso contrário ele não deve ter permissão para usar os recursos do ADS.

Alguém pode ter implementado esse tipo de solução? Se sim, então gentilmente me sugira passos e configurações necessárias para o mesmo ...

Obrigado respeita

    

Answer 1

Na Política de Grupo, há uma configuração em Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment chamada "Adicionar estações de trabalho ao domínio".

Por padrão, é definido como Authenticated Users (ou seja, qualquer pessoa com um nome de usuário e senha válidos).

Como você observou, em muitos ambientes, permitir que qualquer pessoa adicione dispositivos ao domínio terá conseqüências indesejáveis, incluindo nomes inconsistentes e dispositivos não autorizados.

Se você deseja limitar a capacidade de ingressar em estações de trabalho no domínio, considere atribuir este direito de usuário a um grupo específico que consiste em administradores e / ou gerentes apropriados.