Automaticamente faz o administrador local do usuário em seu computador através do GPO?

Question

Em nosso domínio do AD 2003, cada usuário recebe permissões de administrador local em seu computador. Todos os outros podem fazer login com sua conta de domínio como usuário normal.

Neste momento, isso significa ir para a área de trabalho e adicionar manualmente o usuário como administrador local.

Existe alguma maneira de automatizar esse processo por meio de scripts de logon ou GPOs? Eu encontrei maneiras de usar um gpo para fazer com que todos que fazem login em um computador um administrador local, mas realmente só queiram dar para o usuário principal (ou, em alguns casos, usuários) do computador.

Eu também vi métodos que exigiam a adição de um grupo para cada computador ... mas realmente não quero confundir o AD dessa forma.

Eu tenho uma lista mapeando cada usuário para cada nome de computador. Se for importante, os desktops são uma mistura de xp e win7.

    

Answer 1

Não há uma ferramenta de política de grupo nativa que conheço para fazer isso, mas uma solução fácil é usar o Powershell para criar scripts desse tipo de modificação.

Para que um dado computador mate todos os usuários fora do grupo de administradores, adicione os usuários desejados ao grupo, enxágüe e repita. Isso pode ser agendado para ser executado em um servidor e reaplicado regularmente, dando o mesmo resultado que uma política de grupo.

Eu costumava fazer algo parecido com isso. Eu recomendo que você descubra por que seus usuários precisam de direitos de administrador. Um dos inquilinos de uma infra-estrutura de TI gerenciada é tirar os direitos que os usuários não precisam para realizar seus trabalhos.

    

Answer 2

Espero que não. Isso não é uma coisa muito segura para fazer. Gostaria de incentivar os usuários a usar uma conta separada para atividades que exigem permissões elevadas. Usamos uma conta local, mas isso também pode ser uma conta de domínio que foi adicionada ao grupo Administradores local.

    

Answer 3

Você também pode adicionar um usuário ao grupo de administração local usando o GPP (parte preferencial do GPO).

Você pode criar um GPO no nível superior e usar a segmentação GPP para adicionar o usuário ao grupo administrativo de um computador específico.

Adicione este usuário ao grupo interno se o nome do computador for XX.

Para 200 usuários, você teria 200 linhas nesse GPO.

Demora algum tempo para configurar isso, mas você poderá fazer remotamente. E se um usuário precisar revogar seu direito, altere a opção Atualizar GPP na linha a ser excluída.

Eu poderia adicionar alguns screenshots se você quiser.