С помощью доменных групповых политик вы можете добавить необходимых пользователей AD (или группы) в локальную группу администраторов на серверах или рабочих станциях. Так можно предоставить права локального администратора на компьютерах домена сотрудникам техподдержки, службе HelpDesk, определенным пользователям и другим привилегированным аккаунтам. В этой статье мы покажем насколько способов управления членами локальной группы администраторов на компьютерах домена через GPO.
Особенности использования группы локальных администраторов в домене Active Directory
При добавлении компьютера в домен AD в группу Administrators автоматически добавляется группы Domain Admins, а группа Domain User добавляется в локальную Users.
Самый простой способ предоставить права локального администратора на определенном компьютере – добавить пользователя или группу в локальную группу безопасности Administrators через локальную оснастку “Локальные пользователи и группы” (Local users and groups — lusrmgr.msc). Однако такой способ очень неудобен, если компьютеров много и со временем в группах локальных администраторов обязательно окажутся лишние личности. Т.е. при таком способе предоставлении прав неудобно контролировать состав группы локальных администраторов.
В классических рекомендациях по безопасности Microsoft рекомендуется использовать следующие группы для разделения полномочиями администраторов в домене:
- Domain Admins – администраторы домена, используются только на контроллерах домена;С точки зрения безопасности привилегированных аккаунтов администраторов не рекомендуется выполнять повседневные задачи администрирования рабочих станций и серверов под учетной записью с правами администратора домена. Такие учётные записи нужно использовать только для задач администрирования AD (добавление новых контроллеров домена, управление репликацией, модификация схемы и т.д.). Большинство задач управления пользователями, компьютерами и политиками в домене можно делегировать для обычных учетных записей администраторов. Не используйте аккаунты из группы Domain Admins для входа на любые рабочие станции и сервера хроме контроллеров домена.
- Server Admins – группа для удаленного входа на рядовые сервера домена. Не должна состоять в группе Domain Admins и не должна включаться в группу локальных администраторов на рабочих станциях;
- Workstation Admins – группа только для администрирования компьютеров. Не должна входить или содержать группы Domain Admins и Server Admins;
- Domain Users – обычные учетные записи пользователей для выполнения типовых офисных операций. Не должны иметь прав администратора на серверах или рабочих станциях.
Допустим, нам нужно предоставить группе сотрудников техподдержки и HelpDesk права локального админа на компьютерах в конкретном OU. Создайте в домене новую группу безопасности с помощью PowerShell и добавьте в нее учетные записи сотрудников техподдержки:
New-ADGroup "mskWKSAdmins" -path 'OU=Groups,OU=Moscow,DC=winitpro,DC=ru' -GroupScope Global –PassThru
Add-AdGroupMember -Identity mskWKSAdmins -Members user1, user2, user3
Откройте консоль редактирования доменных групповых политик (GPMC.msc), cоздайте новую политику AddLocaAdmins и назначьте ее на OU с компьютерами (в моем примере это ‘OU=Computers,OU=Moscow,dc=winitpro,DC=ru’).
В групповых политиках AD есть два метода управления локальными группами на компьютерах домена. Рассмотрим их по-очереди:
- Ограниченные группы (Restricted Groups)
- Управление локальным группами через предпочтения групповых политик (Group Policy Preferences)
Добавление пользователей в локальную группу администраторов через Group Policy Preferences
Предпочтения групповых политик (Group Policy Preferences, GPP) предоставляют наиболее гибкий и удобный способ предоставления прав локальных администраторов на компьютерах домена через GPO.
- Откройте созданную ранее политику AddLocaAdmins в режиме редактирования;
- Перейдите в секцию GPO: Computer Configuration –> Preferences –> Control Panel Settings –> Local Users and Groups;
- Щелкните ПКМ по правому окну и добавите новое правило (New -> Local Group);
- В поле Action выберите Update (это важная опция!);
- В выпадающем списке Group Name выберите Administrators (Built-in). Даже если эта группа была переименована на компьютере, настройки будут применены к группе локальных администраторов по ее SID — S-1-5-32-544;
- Нажмите кнопку Add и укажите группы, которые нужно добавить в локальную группу администраторов (в нашем случае это mskWKSAdmins)Если вы хотите удалить из текущей локальной группы на компьютере пользователей и группы, добавленных вручную, отметьте опции “Delete all member users” и “Delete all member groups”. В большинстве случае это целесообразно, т.к. вы гарантируете, что на всех компьютерах права администратора будут только у назначенной доменной группы. Теперь если на компьютере вручную добавить пользователя в группу администраторов, при следующем применении политики он будет автоматически удален.
- Сохраните политику и дождитесь ее применения на клиентах. Для немедленного применения политики выполните команду
gpupdate /force
. - Откройте оснастку lusrmgr.msc на любом компьютере и проверьте членов локальной группы Adminstrators. В группу должна быть добавлена только группа mskWKSAdmins, все остальные пользователи и группы будут удалены. Список локальных админов можно вывести с помощью команды
net localgroup Administrators
илиnet localgroup Администраторы
— в русской версии Windows.Если политика не применилась на клиенте, для диагностики воспользуйтесь командой gpresult. Также убедитесь что компьютер находится в OU, на которое нацелена политика, а также проверьте рекомендации из статьи “Почему не применяются политики в домене AD?”.
Вы можете настроить дополнительные (гранулярные) условия нацеливания данной политики на конкретные компьютеры с помощью WMI фильтров GPO или Item-level Targeting. Во втором случае перейдите на вкладку Common и отметьте опцию Item-level targeting. Нажмите на кнопку Targeting. Здесь вы можете указать условия, когда данная политика будет применяться. Например, я хочу, чтобы политика добавления группф администраторов применялась только к компьютерам с Windows 10, чьи NetBIOS/DNS имена не содержат
adm
. Вы можете использовать свои условия фильтрации.
Не рекомендуется добавлять в этой политики индивидуальные аккаунты пользователей, лучше использовать доменные группы безопасности. В этом случае, чтобы предоставить права администраторов очередному сотруднику тех. поддержки, вам достаточно добавить его в доменную группу (не придется редактировать GPO),
Управление локальными администраторами через Restricted Groups
Политика групп с ограниченным доступом (Restricted Groups) также позволяет добавить доменные группы/пользователей в локальные группы безопасности на компьютерах. Это более старый способ предоставления прав локального администратора и сейчас используется реже (способ менее гибкий, чем способ с Group Policy Preferences).
- Перейдите в режим редактирования политики;
- Разверните секцию Computer Configuration -> Policies -> Security Settings -> Restrictred Groups (Конфигурация компьютера -> Политики -> Параметры безопасности -> Ограниченные группы);
- В контекстном меню выберите Add Group;
- В открывшемся окне укажите Administrators -> Ok;
- В секции “Members of this group” нажмите Add и укажите группу, которую вы хотите добавить в локальные админы;
- Сохраните изменения, примените политику на компьютеры пользователей и проверьте локальную групп Administrators. В ней должна остаться только указанная в политике группа.
Предоставление прав администратора на конкретном компьютере
Иногда нужно предоставить определенному пользователю права администратора на конкретном компьютере. Например, у вас есть несколько разработчиков, которым периодически необходимы повышенные привилегии для тестирования драйверов, отладки, установки на своих компьютерах. Нецелесообразно добавлять их в группу администраторов рабочих станций на всех компьютерах.
Чтобы предоставить права лок. админа на одном конкретном компьютере можно использовать такую схему.
Прямо в созданной ранее политике AddLocalAdmins в секции предпочтений (Computer Configuration –> Preferences –> Control Panel Settings –> Local Users and Groups) создайте новую запись для группы Administrators со следующими настройками:
- Action: Update
- Group Name: Administrators (Built-in)
- Description: “Добавление apivanov в лок. администраторы на компьютере msk-ws24”
- Members: Add -> apivanov
- На вкладке Common -> Targeting указать правило: “the NETBIOS computer name is msk-ws24”. Т.е. данная политика будет применяться только на указанном здесь компьютере.
Также обратите внимание на порядок применения групп на компьютере – Order. Настройки локальных групп применяются сверху вниз (начиная с политики с Order 1).
Первая политика GPP (с настройками “Delete all member users” и “Delete all member groups” как описано выше), удаляет всех пользователей/группы из группы локальных администраторов и добавляет указанную доменную группу. Затем применится дополнительная политика для конкретного компьютера и добавит в администраторы указанного пользователя. Если нужно изменить порядок применения членства в группе Администраторы, воспользуйтесь кнопками вверху консоли редактора GPO.
В случае, чтобы пользователи и группы в Administrators не затирались через Restricted Groups. Правильнее в политике выбрать группу, которую надо добавить в Administrators, а в поле This group is member of добавить BUILTIN\Administrators
Это как вариант работы данного механизма политики
Явно недоработанная статья в части Rstricted Groups. Существует два вида ограничения групп «Members of» и «Members». Первый вид добавляет к текущему составу новые группы. Второй вид удаляет, причем даже Domain admins. Но например не удалит группы добавленные через вид «member of», даже если у этой политики будет ниже приоритет. т.е. если например вы в локальные админы добавили Group1 через «member of», а потом еще сделали вторую политику «members» (перезатирающую) и добавили Group2, то по сути в группе админов будут Group1 и Group2. Хотя вы написали, что удалит все группы.
Также можно было добавить про то, что с помощью данных политик можно управлять составом доменных групп, а не локальных. Тоже было бы полезно знать другим.
Главное помнить что она добавлена через GPO )) буквально на днях голову ломал с барабашкой)) пару лет назад сделал так группу IT_Admins и для всего домена додавил в Администраторы. Ну и естественно через пару лет забыл, так как все работает а новых админов не прибавлялось. В вот на днях надо было в эту группу добавить нового. Естественно что я делаю, через AD добавляю юзера в группу. И тут он вдруг из нее исчезает через пару минут)) и так пару раз. В логах его удаляет System. Пока догнал и вспомнил что она через GPO сделана чуть не поверил в барабашек))
Подскажите, при установке галки Delete all member users локальный администратор тоже удаляется из группы администраторов? Если да, как сделать чтоб он не удалялся или как добавить его снова?
Насколько я помню, лок. админ вроде не удаляться. МОгу ошибаться, проверить сейчас не могу. Если удаляется — можно добавить его снова, добавьте аккаунт built-in\administrator в этой же политике
Доброго времени суток!
Но зайти локально с добавленными пользователями не получится?
имя_компьютера\user1, а не через домен.
Я где-то читал, что майкрософт заблокировала возможность создавать локальных администраторов на всех компьютерах в домене с помощью GPO. Или я что-то делаю не так и к меня просто не получается?
Возможно у вас доменными политиками включены ограничения на вход под локальным пользовтелем.
— не слышал про такое, сомневаюсь.
Можно это сделать с помощью LAPS, создать нового локального пользователя с паролем — не получается. Только с помощью LAPS
Привет.
Думаю нужно добавить в статю — в вин8, вин10 локальный юзер не создается (на вин7 работает). Политика М поменялась. Судя по логам — юзер не создается ибо пароль не подходит под стандартные политики (хотя пароль сложный и все условия соблюдены). Где-то вычитал, что создать юзера можно только без пароля, атрибут пароль просто недоступен. Хотелось бы получить инструкцию по созданию локального пользователя через PowerShell, есть шанс что добавите?.
Благодарю.
Всё верно — Майрософт запретил создавать локальных пользователей через групповые политики. Так как пароль от учетной записи хранится в групповой политике, хоть и в виде хэша, но хэш там не достаточно сильный. А так как к групповым политикам есть доступ у всех пользователей домена — то они могут стянуть эту политику и извлечь из неё пароль. Вместо добавления локального пользователя через GPO используйте инструмент LAPS. Ссылка на него есть в статье.
Два раза внедрял политику. В обоих случаях встроенная учетная запись администратора отключается. Остаются только добавленные доменные учетки. Если ПК выпадает из домена — начинаются проблемы.