网站搜索

将域用户添加到 Windows 中的本地管理员组

为了向技术支持人员、帮助台团队、某些用户和其他特权帐户授予域计算机上的本地管理员权限，您必须将必要的 Active Directory 用户或组添加到服务器或工作站上的本地管理员组中。在本文中，我们将向您展示如何通过 GPO 手动管理域计算机上本地管理员组的成员。

手动将用户添加到本地管理员组

向用户或组授予特定计算机上的本地管理员权限的最简单方法是使用图形化本地用户和组管理单元将其添加到本地管理员组 (

lusrmgr.msc

）。

当您将计算机加入 AD 域时，Domain Admins 组会自动添加到计算机的本地 Administrators 组，而 Domain User 组会添加到本地 Users 组。

单击添加按钮并指定要授予本地管理员权限的用户、组、计算机或服务帐户 (gMSA) 的名称。使用“位置”按钮，您可以在域中或本地计算机上搜索主体之间进行切换。

您还可以使用命令提示符显示具有本地计算机管理员权限的用户列表：

net localgroup administrators

您可以使用以下PowerShell命令获取本地组中的用户列表（使用内置的LocalAccounts模块来管理本地用户和组）：

Get-LocalGroupMember administrators

此命令显示已授予管理员权限的对象类（ObjectClass=用户、组或计算机）以及帐户或组的源（ActiveDirectory、Azure AD、Microsoft 或本地）。

要将域组 munWksAdmins 添加到本地管理员，请运行以下命令：

net localgroup administrators /add munWksAdmins /domain

使用 PowerShell，您可以将用户添加为管理员，如下所示：

Add-LocalGroupMember -Group Administrators -Member ('a-d\j.smith', 'a-d\munWksAdmins','wks1122\user1') -Verbose

在此示例中，我们将 a-d 域中的用户和组以及本地用户 wks1122\user1 添加到计算机管理员。

您可以一次将用户添加到多台计算机上的管理员组。在这种情况下，您可以使用 PowerShell Remoting 中的 Invoke-Command cmdlet 通过网络访问远程计算机：

$WKSs = @("PC001","PC002","PC003")
Invoke-Command -ComputerName $WKSs -ScriptBlock {Add-LocalGroupMember -Group Administrators -Member a-d\munWksAdmins'}

您还可以完全拒绝向域用户或组提供任何管理员权限。在这种情况下，您可以使用内置本地管理员以及存储在 Active Directory 中的密码（使用本地管理员密码解决方案/LAPS 实现）在用户计算机上执行一次性管理任务。

在 Active Directory 域环境中，最好使用组策略授予域计算机上的本地管理员权限。这比手动将用户添加到每台计算机上的本地管理员组更容易、更方便、更安全。您可以使用两个组策略选项来管理域计算机上的管理员组：

  • 使用组策略首选项管理本地组成员身份；

  • 使用受限组 GPO 功能将用户添加到本地组。

如何通过组策略首选项将域用户添加到本地管理员？

组策略首选项 (GPP) 提供了通过 GPO 授予域计算机上的本地管理员权限的最灵活、最便捷的方法。

假设您的任务是将特定 Active Directory OU（组织单位）中计算机的本地管理员权限授予 HelpDesk 团队组。使用 PowerShell 在您的域中创建一个新的安全组并向其中添加帮助台团队帐户：

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=com' -GroupScope Global -PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

打开域组策略管理控制台（

GPMC.msc

），创建一个新策略 (GPO) AddLocaAdmins 并将其链接到包含计算机的 OU（在我的示例中为“OU=Computers,OU=Munich,OU=DE,DC=a-d,DC=com”）。

  1. 编辑您之前创建的AddLocaAdmins GPO；

  2. 转到以下 GPO 部分：计算机配置 -> 首选项 -> 控制面板设置 -> 本地用户和组；

  3. 添加新规则（新建 -> 本地群组）；

  4. 在操作字段中选择更新（这是一个重要的选项！）；

  5. 在组名称下拉列表中选择管理员（内置）。即使该组已在计算机上重命名，这些设置也会通过其 SID 应用于本地管理员组 (

    S-1-5-32-544

    ）；

  6. 单击添加按钮并选择要添加到本地管理员组的组（在我们的示例中为munWKSAdmins）；

    您可以从所有计算机上的本地管理员中删除所有手动添加的用户和组。选中“删除所有成员用户”和“删除所有成员组”选项。在大多数情况下，这是合理的，因为您保证只有经过批准的域组才会拥有您的域计算机的管理员权限。如果您使用“本地用户和组”管理单元手动将用户添加到管理员组，则下次应用策略时该用户将被自动删除。

  7. 保存策略并等待其应用到客户端工作站。要立即应用组策略设置，请运行以下命令

    gpupdate /force

    在用户的计算机上；

  8. 打开

    lusrmgr.msc

    在任何域计算机上管理单元并检查本地管理员组成员。仅应将 munWKSAdmins 组添加到此组，而其他用户和组将被删除（内置 Windows 管理员帐户除外）。

如果策略未应用在域计算机上，请使用 gpresult 命令对生成的 GPO 设置进行故障排除。另外，请确保计算机位于 GPO 链接到的 OU 中，并查看文章“为什么组策略不应用于计算机？”中的建议。 ”。

使用 GPO 将单个用户添加到特定计算机上的本地管理员组

有时您可能需要授予单个用户特定计算机上的管理员权限。例如，您有多名开发人员，他们有时需要提升权限来测试驱动程序、调试驱动程序或在计算机上安装驱动程序。将它们添加到对所有域计算机具有权限的工作站管理员组中是不合理的。

您可以使用 GPO WMI 过滤器或项目级定位来授予特定计算机上的本地管理员权限。

在之前创建的 AddLocalAdmins 策略的 GPO 首选项部分（计算机配置 -> 首选项 -> 控制面板设置 -> 本地用户和组）中创建一个新条目：

  1. 行动：

    Update

  2. 群组名称：

    Administrators (Built-in)

  3. 描述：“

    Add amuller to the local administrators on the mun-dev-wsk21 computer

    ”

  4. 成员：添加 ->

    amuller

  5. 在常见 -> 定位标签中，指定此规则：“

    the NETBIOS computer name is mun—dev-wks24.

    ” 这意味着该组策略项将仅应用于此处指定的计算机。

另请注意在计算机上应用组成员资格的顺序（

Order

GPP 专栏）。本地组成员资格从上到下应用（从

Order 1

政策）。

第一个 GPP 策略选项（具有如上所述的“删除所有成员用户”和“删除所有成员组”设置）从本地管理员组中删除所有用户/组并添加指定的域组。然后应用其他特定于计算机的策略，将指定用户添加到本地管理员中。如果要更改管理员组中的成员资格顺序，请使用 GPO 编辑器控制台顶部的按钮。

使用受限组 GPO 管理本地管理员

受限组策略还允许将域组/用户添加到计算机上的本地安全组。这是授予本地管理员权限的较旧方法，现在较少使用（它不如上述组策略首选项方法灵活）。

  1. 打开您的 GPO；

  2. 展开计算机配置 -> 策略 -> 安全设置 -> 受限组部分；

  3. 在上下文菜单中选择添加组；

  4. 在下一个窗口中，输入管理员，然后单击“确定”；

  5. 单击此群组的成员部分中的添加，并指定要添加到本地管理员的群组；

  6. 保存更改，将策略应用到用户的计算机，然后检查本地管理员组。它必须仅包含您在策略中指定的组。

    这些组策略设置始终 (!) 删除本地管理员组的所有现有成员（通过其他策略或脚本手动添加）。

如果您需要保留管理员组的当前成员身份并使用受限组 GPO 添加其他组（用户），则需要：

  1. 在“受限组”中创建一个新条目，然后选择要添加到本地管理员的 AD 安全组（！！！）；

  2. 然后在此组是以下成员部分中添加管理员；

  3. 更新客户端上的 GPO 设置，并确保您的域组已添加到本地管理员组。在这种情况下，本地组中的当前主体保持不变（不会从组中删除）。

在本文的最后，我将提出一些有关管理 Active Directory 计算机和服务器上的管理员权限的建议。

微软的经典安全最佳实践建议使用以下组来分隔AD域中的管理员权限：

  1. 域管理员仅在域控制器上使用；

    从特权管理员帐户的安全角度来看，不建议使用具有域管理员权限的帐户在工作站和服务器上执行日常管理任务。这些帐户只能用于 AD 管理任务（添加新的域控制器、复制管理、Active Directory 架构修改等）。大多数用户、计算机或 GPO 管理任务必须委派给常规管理员帐户（没有域管理员权限）。不要使用域管理员帐户登录域控制器以外的任何工作站或服务器。

  2. 服务器管理员是一个允许管理 AD 域中的 Windows Server 主机的组。不得是工作站上的 Domain Admins 组或本地管理员组的成员；

  3. 工作站管理员是一个仅在工作站上执行管理任务的组。不得是 Domain Admins 和 Server Admins 组的成员；

  4. 域用户是执行典型办公操作的常见用户帐户。他们不得拥有服务器或工作站的管理员权限；

  5. 不建议将个人用户帐户添加到本地管理员组。最好使用域安全组。在这种情况下，为了向下一个技术支持员工授予管理员权限，只需将他添加到域组中即可（无需编辑 GPO）。

相关文章