没有域管理员权限的域安装权限

Question

首先，我是一名新的 Jnr 服务器技术员。

我需要向用户帐户申请什么权限才能让我们的技术人员被允许在 PC 上安装应用程序但无法登录服务器，但他们仍然需要能够重置解锁 AD 帐户，添加到域等。

我们的整个环境都在 Windows 10 和 Server 2012 R2 上。

Microsoft 和 Spiceworks 建议启用本地管理员权限，但对于我的用户来说，这很危险。

我们有 2 个具有域管理员权限的通用帐户，并且怀疑 “某些” 用户正在使用它来破坏环境。

我需要阻止/控制我们的技术和/或通用帐户才能通过 RDP 登录服务器。

Answer 1

Microsoft 和 Spiceworks 建议启用本地管理员权限，但对我的用户来说，这很危险。

您将您的技术人员本地管理员授予工作站，而不是用户。如果您有一个包含所有技术人员的安全组，那么您可以将该组添加到每个工作站上的管理员组中。您可以在组策略中执行此操作。

Answer 2

您可以通过组策略将安全组添加到本地 PC，并确保技术人员是该安全组的一部分，然后他们可以使用用户 PC 上的“运行方式”选项安装应用程序。同样，您可以使用 AD 中的安全组来允许技术人员在他们的语言环境机器上拥有 ADUC，他们可以执行重置的解锁等。并确保这些组都没有域管理员权限以允许他们 RDP 到任何服务器。如果您对此进行一些谷歌搜索，您应该会到达您想去的地方。