グループポリシーを介したローカル管理者グループへのユーザーの追加

コンピューターをADドメインに参加させる場合、ドメイン管理者 グループはローカルの管理者に自動的に追加されます グループ、およびドメインユーザー グループがローカルのユーザーに追加されます グループ。

コンピューターでローカル管理者権限を付与する最も簡単な方法は、ユーザーまたはグループをローカルセキュリティグループ管理者に追加することです。 ローカルユーザーとグループを使用する スナップイン（lusrmgr.msc ）。ただし、この方法は、コンピューターの数が多く、場合によっては不要な人が特権グループのメンバーにとどまる可能性がある場合には便利ではありません。ローカル権限を付与するこの方法を使用している場合、各ドメインコンピューターのローカル管理者グループのメンバーを制御するのは便利ではありません。

次のグループを使用して、ADドメインの管理者権限を分離することをお勧めします。

1. ドメイン管理者 ドメインコントローラーでのみ使用されます。特権管理者アカウントのセキュリティの観点から、ドメイン管理者特権を持つアカウントでワークステーションとサーバーで日常の管理タスクを実行することはお勧めしません。これらのアカウントは、AD管理（新しいドメインコントローラーの追加、レプリケーション管理、Active Directoryスキーマの変更など）にのみ使用する必要があります。ほとんどのユーザー、コンピューター、またはGPO管理タスクは、通常の管理者アカウント（ドメイン管理者権限なし）に委任する必要があります。ドメイン管理者アカウントを使用して、ドメインコントローラー以外のワークステーションまたはサーバーにログオンしないでください。
2. サーバー管理者 ドメインメンバーサーバーの管理を可能にするグループです。ワークステーションのDomainAdminsグループまたはローカルAdministratorsグループのメンバーであってはなりません。
3. ワークステーション管理者 ワークステーションでのみ管理タスクを実行するためのグループです。 DomainAdminsグループとServerAdminsグループのメンバーであってはなりません。
4. ドメインユーザー 一般的なオフィス操作を実行するための一般的なユーザーアカウントです。サーバーまたはワークステーションに対する管理者権限を持ってはなりません。

特定のOU内のコンピューターに対するローカル管理者特権をテクニカルサポートとヘルプデスクの従業員のグループに付与するとします。 PowerShellを使用してドメインに新しいセキュリティグループを作成し、それにテクニカルサポートアカウントを追加します。

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=woshub,DC=com' -GroupScope Global –PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

ドメイングループポリシー管理コンソール（GPMC.msc）を開きます ）、新しいポリシー（GPO）を作成します AddLocaAdmins そして、それをOUを含むコンピューターにリンクします（私の例では、「OU =Computers、OU =Munich、OU =DE、DC =woshub、DC =com」です）。

ADグループポリシーは、ドメインコンピューター上のローカルグループを管理するための2つの方法を提供します。それらを順番に調べてみましょう：

• グループポリシー設定を使用したローカルグループ管理;
• 制限されたグループ。

GPO設定を使用してドメインユーザーをローカル管理者に追加するにはどうすればよいですか？

グループポリシー設定（GPP）は、GPOを介してドメインコンピューターのローカル管理者特権を付与するための最も柔軟で便利な方法を提供します。

1. AddLocaAdminsを開きます 編集で以前に作成したGPO モード;
2. 次のGPOセクションに移動します：コンピューターの構成–>設定–>コントロールパネルの設定–>ローカルユーザーとグループ;
3. 新しいルールを追加します（新規 ->ローカルグループ ）;
4. 更新を選択します [アクション]フィールド（これは重要なオプションです！）;
5. [グループ名]ドロップダウンリストで、[管理者（組み込み）]を選択します。 このグループの名前がコンピューター上で変更されている場合でも、設定はそのSID（S-1-5-32-544）によってローカルのAdministratorsグループに適用されます。;
6. 追加をクリックします ボタンをクリックして、ローカル管理者グループに追加するグループを選択します（この場合は munWKSAdmins ）;現在のローカル管理者グループから手動で追加したユーザーとグループを削除する場合は、[すべてのメンバーユーザーを削除する]をオンにします。 」と「すべてのメンバーグループを削除 」オプション。ほとんどの場合、割り当てられたドメイングループのみがドメインコンピューターの管理者権限を持つことを保証するため、合理的です。次に、「ローカルユーザーとグループ」スナップインを使用して手動でユーザーをAdministratorsグループに追加すると、次回ポリシーが適用されたときに自動的に削除されます。
7. ポリシーを保存し、ワークステーションに適用されるまで待ちます。ポリシーをすぐに適用するには、このコマンドgpupdate /forceを実行します ユーザーのコンピューター上;
8. lusrmgr.mscを開きます 任意のコンピューターにスナップインし、ローカルのAdministratorsグループメンバーを確認します。 munWKSAdminsのみ グループはこのグループに追加され、他のユーザーとグループは削除されます。次のコマンドを使用して、ローカル管理者のリストを表示できます：net localgroup Administrators

GPO WMIフィルターまたはアイテムレベルのターゲティングを使用して、特定のコンピューターでポリシーをターゲティングするための追加の（詳細な）条件を構成できます。 。

2番目のケースでは、共通に移動します タブをクリックして、アイテムレベルのターゲティングを確認します 。 ターゲティングをクリックします 。ここでは、ポリシーが適用される条件を指定できます。たとえば、管理者グループを追加するポリシーを、NetBIOS/DNS名にadmが含まれていないWindows10コンピューターにのみ適用したいとします。 。独自のフィルタリングオプションを使用できます。

このポリシーに個々のユーザーアカウントを追加することはお勧めしません。ドメインセキュリティグループを使用することをお勧めします。この場合、別のテクニカルサポート従業員に管理者権限を付与するには、それらをドメイングループに追加するだけで十分です（GPOを編集する必要はありません）。