Hoe u lokale beheerdersrechten op domeincomputers beheert
Het beheren van lokale beheerdersrechten op een groot aantal computers in een domein kan een hele klus zijn. Handmatige aanpassingen combineren met GPO’s (Group Policy Objects) is een lastige opgave. Bent u gefrustreerd geraakt omdat bepaalde gebruikers beheerdersrechten nodig hebben, maar het handmatig toevoegen ervan op elke pc niet schaalbaar is (of erger nog, de machtigingen steeds opnieuw worden ingesteld)? Dan is deze handleiding iets voor u. We bespreken methoden om beheerdersrechten toe te wijzen, handmatig, via GPO-voorkeuren of met een combinatie van beide. Het doel is om de beveiliging te waarborgen, maar tegelijkertijd flexibel genoeg te zijn zodat uw helpdeskteam of ontwikkelaars kunnen doen wat ze moeten doen zonder de boel te verstoren. Kortom, het beheren van lokale beheerders in een domeinomgeving draait om het vinden van de juiste balans tussen beveiliging en gebruiksgemak. U wilt de juiste mensen de juiste toegang geven, zonder van elke computer een vrijplaats te maken. Het gebruik van GPO’s met voorkeuren of beperkte groepen is meestal de beste oplossing – mits correct ingesteld, blijven de instellingen consistent, zelfs na herstarts. Maar soms hoeft u slechts één gebruiker aan één machine toe te voegen. En ja, soms maakt Windows dit veel ingewikkelder dan nodig.
Hoe u lokale beheerdersrechten op domeincomputers kunt herstellen
Een gebruiker of groep handmatig toevoegen aan de groep Lokale beheerders
Dit is misschien wat ouderwets, maar soms is het de enige manier als je alleen toegang nodig hebt op een paar computers. Wanneer een machine lid wordt van een domein, worden de Domeinbeheerders automatisch toegevoegd aan de lokale Beheerders-groep en Domeingebruikers aan de Gebruikers-groep. Maar als iemand beheerdersrechten nodig heeft, bijvoorbeeld voor het oplossen van problemen, kun je ` lusrmgr.msc` openen op die machine, op Toevoegen klikken onder de Beheerders-groep en hun account of groep invoeren. Je kunt dit ook via de opdrachtregel doen, wat handig is voor scripts die op meerdere computers werken: `bash net localgroup administrators`
Lokale beheerders beheren met behulp van groepsbeleidvoorkeuren: de meest flexibele manier.
Dit is de ideale oplossing, vooral als u gecentraliseerde controle wilt die permanent is. Met Groepsbeleidvoorkeuren (GPP) kunt u precies definiëren wie er in die lokale groepen op uw domeincomputers moet zitten. Zo werkt het: – U voegt een domeingroep (bijvoorbeeld Helpdesk) toe aan de lokale Beheerders-groep op alle doel-pc’s.- U kunt de standaard lokale beheerdersleden indien nodig verwijderen, zodat alleen uw goedgekeurde groepen overblijven.- U kunt specifieke OU’s, computers of zelfs filters selecteren, zodat alleen bepaalde machines de wijzigingen ontvangen. Maak een beveiligingsgroep aan in Active Directory (bijvoorbeeld via PowerShell): powershell New-ADGroup munWKSAdmins -OU “OU=Groups, OU=Munich, OU=DE, DC=woshub, DC=com” -GroupScope Global Add-ADGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher Open vervolgens de ` Group Policy Management Console`, maak een nieuw GPO aan en koppel deze aan de juiste OU. Ga vervolgens naar ` Computerconfiguratie –> Voorkeuren –> Instellingen Configuratiescherm –> Lokale gebruikers en groepen`. Voeg een Nieuwe → Lokale groep toe. Stel de Actie in op Bijwerken (zodat bestaande leden worden gewijzigd).Kies Beheerders (ingebouwd) (zelfs als de naam is gewijzigd, wordt deze herkend aan de bekende SID `S-1-5-32-544`).Klik op Toevoegen om uw domeingroep toe te voegen (bijvoorbeeld munWKSAdmins).Vink eventueel Alle gebruikers verwijderen en Alle groepen verwijderen aan om ervoor te zorgen dat het lidmaatschap exact overeenkomt met uw GPO. Dit voorkomt dat handmatige toevoegingen of verwijderingen blijven bestaan. Voer vervolgens op de clientcomputers het volgende commando uit: bash gpupdate /force om de wijzigingen direct toe te passen. U kunt de leden in ` Lokale gebruikers en groepen` controleren om te zien of alleen uw domeingroep aanwezig is, zonder extra’s.
Geef één gebruiker toegang tot een specifieke computer met behulp van itemgerichte targeting.
Soms moet je een gebruiker toevoegen aan de lokale beheerders op slechts één computer, bijvoorbeeld een ontwikkelaar of een externe medewerker. In plaats van voor elke computer een apart GPO aan te maken, kun je Doelstelling op itemniveau gebruiken binnen Groepsbeleidvoorkeuren. In je bestaande GPO AddLocalAdmins: – Kies bij de Voorkeur voor Lokale groep de optie Bijwerken.- Stel de Groepsnaam in op Beheerders.- Voeg onder Leden de gebruikersnaam toe.- Ga naar het tabblad Algemeen en vervolgens naar Doelstelling.- Klik op Doelstelling op itemniveau en voeg een voorwaarde toe, bijvoorbeeld Computernaam is gelijk aan `mun—dev-wks24`.Op die manier is deze regel alleen van toepassing op die specifieke computer. Zorg er wel voor dat de Volgorde correct is: Groepsbeleid verwerkt van boven naar beneden, dus de volgorde bepaalt wat er in de lokale groepen terechtkomt als er conflicten zijn.
Maak voor elke pc een unieke lokale beheerdersgroep aan.
Als u de voorkeur geeft aan een meer gedetailleerde aanpak, kunt u per machine een aangepaste groep aanmaken, bijvoorbeeld `
Beheer met beperkte groepen: de beproefde methode.
Dit is een meer traditionele aanpak en minder flexibel, maar soms noodzakelijk. U specificeert precies welke groepen of gebruikers in de lokale Administrators-groep moeten zitten: – Ga in uw GPO naar ` Computerconfiguratie -> Beleid -> Beveiligingsinstellingen -> Beperkte groepen` – Voeg de Administrators-groep toe.- Stel in wie er in deze groep moet zitten door domeingroepen of gebruikers toe te voegen.- Alle bestaande leden die niet zijn opgenomen, worden verwijderd bij de volgende beleidsvernieuwing. Waarschuwing: deze methode reset het groepslidmaatschap geforceerd, waardoor alle handmatige of scriptgebaseerde wijzigingen ongedaan worden gemaakt. Ga hier dus voorzichtig mee om.
Samenvatting
- Handmatig toevoegen op individuele computers kan werken, maar is niet schaalbaar.
- Groepsbeleidvoorkeuren zijn de meest flexibele en betrouwbare manier om domeinbreed beheer uit te voeren.
- Gerichte GPO’s helpen bij het toewijzen van beheerdersrechten alleen waar dat nodig is.
- Het aanmaken van aparte lokale groepen per pc vereenvoudigt het delegeren van taken.
- Oudere opties zoals beperkte groepen werken nog steeds, maar worden tegenwoordig minder gebruikt.
Samenvatting
Het beheren van lokale beheerdersrechten op domeinmachines vereist kennis van de juiste tools en de juiste timing. Handmatige aanpassingen zijn snel, maar omslachtig. GPO-voorkeuren bieden daarentegen een goede controle zodra ze correct zijn ingesteld. Let wel op de volgorde en de doelopties. In sommige configuraties lijken de machtigingen hardnekkig, maar met wat probleemoplossing, zoals het controleren van de resultaten met `gpresult /h`, kunnen de problemen worden opgespoord. Hopelijk zorgt deze aanpak ervoor dat uw omgeving zowel veilig als functioneel blijft. Dit is in ieder geval een methode die op meerdere machines heeft gewerkt.