AD域撤销域用户管理员权限方案

一、简介

  公司大部分主机加入域已有一段时间了,由于某软件没管理员权限不能执行,所以管理员权限一直没撤销,不能完全实现域的管理效果。但起码实现了域用户脱离不了域的控制:http://www.cnblogs.com/sjy000/p/4713389.html

  撤销管理员后,所有用户加入Power Users组,只有主管仍是Administrators组。Power Users组可以正常访问本地所有资源,不能安装软件、修改注册表、修改TCP/IP、修改计算机等。同事修改计算机设置时,向SA申请,SA使用管理员账号登录后修改;安装软件由SA则使用批处理输入程序的完整路径后开始安装,批处理用的是runas命令,让普通用户以管理员的身份执行程序。软件管理方式还可使用域组策略部署。

  另外还有个域组策略脚本执行身份的问题需解决。域组策略脚本是以登录的用户身份执行的,而用户身份只是属于Power Users组,当脚本的命令涉及修改系统设置,就无法生效了。这时还得使用runas命令解决,让原脚本以管理员身份执行。

 

二、服务器配置

1、域用户撤销本地管理员,禁止本地用户登录

Administrators组成员设为只有域Domain Admins,Power Users与Users组只有Domain Users。

该设置还有额外的效果加成——本地用户无法登录,因为这些用户不再属于这三个本地组了。

 

2、在客户端执行一次runas,保存管理员的密码

域TEST.COM,管理员账号administrator。

/savecred选项表示执行一次后保存密码;/noprofile选项表示不加载用户的配置文件,不加该选项部分主机找不到路径

runas /savecred /noprofile /user:TEST\administrator calc.exe

 

3、runas命令指向域组策略旧的脚本,以管理员身份执行

runas /savecred /noprofile /user:TEST\administrator \\192.168.1.100\bat\old.bat

 

使用runas后,批处理会弹窗运行,进行下美化。

title XX公司系统管理脚本
color 1F

echo 配置中,请勿关闭...

命令>%temp%\result.tmp
del %temp%\result.tmp
::隐藏执行结果

 

4、编写批处理,SA运行、安装软件的工具

输入程序完整路径后执行。

@echo off
color 1F
title Administrator

echo.
set /p a=Enter the programme path: 
runas /savecred /noprofile /user:TEST\administrator %a%
pause

 

软件Bat To Exe Converter将批处理转换为exe程序,禁止用户查看命令。

 

三、客户端测试

1、执行一次runas保存管理员密码

 

2、尝试修改IP、创建账号、修改系统设置、安装软件

 

3、尝试旧本地管理员账号登录

 

4、SA使用批处理帮同事安装软件

 

本文出自 “运维菜鸟.log” 博客,谢绝转载!

转载于:https://www.cnblogs.com/sjy000/p/4745966.html

  • 0
    点赞
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
### 回答1: 在AD下,普通用户打开软件时通常需要管理员权限的原因是为了确保系统的安全性和稳定性。 首先,管理员权限的设定可以限制普通用户对系统的访问和操作。普通用户在没有管理员权限的情况下,无法对系统进行重要的修改或者安装新的软件。这样的权限设置是为了防止普通用户误操作或者对系统造成不可逆的影响。管理员权限通常由IT部门或者系统管理员授予,这样可以对用户的操作进行监控和管理,确保系统的安全性。 其次,管理员权限可以防止恶意软件或者病毒的感染。普通用户在没有管理员权限时,无法安装未经验证的软件,限制了病毒或者恶意软件进行的潜在入侵。管理员权限可以帮助保护系统免受未知或者恶意软件的威胁。 最后,管理员权限还可以保护敏感数据的安全。某些软件可能会涉及到敏感信息的读取、修改或者删除,为了防止这些操作被未经授权的用户进行,需要限制普通用户的权限,只有管理员才能进行相关操作。这样可以提高数据的保密性和完整性,减小泄密或者数据损坏的风险。 因此,在AD下普通用户打开软件需要管理员权限是为了保证系统的安全性和稳定性,防止误操作、恶意软件的安装和数据泄密。这是为了维护AD环境的正常运行而采取的一种措施。 ### 回答2: 在AD环境下,普通用户打开某些软件需要管理员权限是因为软件的安装路径或者某些功能需要对系统进行修改或者访问特定的资源。正常情况下,AD的普通用户只具备有限的权限,不能对系统进行更改操作,以保证系统的安全性和稳定性。 首先,管理员权限可以保证系统的安全性,防止恶意软件、病毒等对系统进行非法操作或者篡改关键文件。管理员权限限制的是用户对操作系统的访问权限,避免用户对系统进行一些危险操作。 其次,普通用户在缺少管理员权限的情况下,无法进行一些需要修改系统设置的操作。例如,安装软件通常需要将文件复制到系统文件夹中或者修改注册表等,这些操作都需要管理员权限才能执行。管理员权限可以保证软件安装过程中的正确性和完整性,避免软件安装过程中的错误操作或者对系统产生不必要的损害。 此外,某些软件的功能需要对系统的关键文件、资源或者服务进行访问。例如,操作数据库、访问共享文件夹、配置网络等都需要管理员权限。这种限制可以保护系统的安全性,防止敏感数据、共享资源等被未经授权的用户访问和篡改。 综上所述,AD下普通用户打开软件需要管理员权限是为了保证系统的安全性和稳定性,避免用户对系统进行非法或者危险的操作,同时保护系统关键文件、资源和服务的安全。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值