Lokaler Administrator Gruppenrichtlinie / GPO - www.itnator.net

Lokaler Administrator Gruppenrichtlinie / GPO

In großen Firmen und Unternehmen haben Standard Benutzer keine Administrator Berechtigungen. Das macht natürlich auch sinn, da es ein Sicherheitsrisiko (Viren) ist und da sonst manchen Benutzer ihr System zum schlechteren verändern könnten. In manchen wenigen Ausnahmefällen ist es aber nötig, dass ein Domänen Benutzer ein lokaler Administrator auf dem Client ist. Hierzu möchte man aber keinesfalls Userdaten herausgeben, die auf jedem Client funktionieren. Wir brauchen eine Lokaler Administrator Gruppenrichtlinie / GPO!

geralt / Pixabay

 

Lokaler Administrator Gruppenrichtlinie / GPO

Ablösung schafft hier eine Lokaler Administrator Gruppenrichtlinie / GPO. Es wird hier für jedes Computerobjekt im Active Directory (AD) eine Gruppe erzeugt, die den lokalen Administratoren des Computers hinzugefügt wird. Benötigt nun ein Benutzer lokale Adminrechte auf seinem Client, muss der User lediglich in die Gruppe aufgenommen werden.

 

Active Directory Gruppen erzeugen

Im Ersten Schritt müssen wir für jedes Client Computer Objekt im Active Directory (AD) eine eigene Gruppe erzeugen. Das ist mit PowerShell sehr einfach zu realisieren. Hierzu muss folgendes Script ausgeführt werden:

(Dieses Script ließt alle Computerobjekte aus, welche ein „N“ im Namen haben und legt unter der OU „LocalAdminGroups“ eine Gruppe für dieses Objekt an. Das PowerShell Script muss natürlich an die jeweilige AD Struktur und Namensgebung angepasst werden.)

Natürlich kommen – je nach Struktur und Größe des Netzwerks und des Unternehmens – oft neue Clients hinzu. Deswegen ist es sinnvoll dieses Script ein mal am Tag per Aufgabenplanung ausführen zu lassen. Wenn nun ein neues Computerobjekt angelegt wurde, erstellt das Script eine weitere „lokale Admin Gruppe“.

 

AD Gruppe den lokalen Administratoren hinzufügen

Nun kommt die eigentliche Lokaler Administrator Gruppenrichtlinie / GPO. Hierzu verwenden wir ebenfalls ein PowerShell Script. Folgendes Script versucht am lokalen Client / Computer die passende erzeugte Active Directory Gruppe zur „Administratoren“ Gruppe hinzuzufügen.

(Achtung! Auf Englischen Betriebssystemen heißt die Admin Gruppe am Client (Zeile 6) nicht „Administratoren“ sondern „Administrators“.)

Dieses Script („addlocaladmingroup.ps1„) muss nun als GPO (Computerrichtlinie) beim Logon ausgeführt werden. Damit wird auf jedem Client die richtige Active Directory Gruppe in den lokalen Administratoren hinterlegt. Die Gruppenrichtlinie muss natürlich den Computerobjekten im AD zugewiesen werden. 😉

lokaler administrator gruppenrichtlinie gpo ad

 

Anwendung

Nunja, ich hoffe es ist selbsterklärend. Wenn nun ein „normaler“ User lokale Administrator Rechte auf seinem Client benötigt, muss lediglich in der passenden Active Directory Gruppe der Benutzer hinzugefügt werden.

lokaler admin gpo

Nach einem Neustart des Computers hat der User lokale Adminrechte. 🙂

 

Auswertung / Report per Mail

Je nach Struktur gibt es natürlich sehr viele Computerobjekte und deswegen auch viele Gruppen. Hier verliert man sehr schnell den Überblick. Deswegen gibt es die Möglichkeit sich eine Auswertung, beziehungsweise einen Report der Lokaler Administrator Gruppenrichtlinie senden zu lassen. Dazu gehen wir folgendermaßen vor.

Wie immer nutzen wir wieder ein PowerShell Script, das wir ebenfalls per Aufgabenplanung ausführen lassen. Einmal im Monat sollte reichen:

Nach ausführen des PowerShell Scripts werden alle Gruppen ausgelesen und eine Mail generiert. Die Zeilen 1-12 müssen natürlich eurer Struktur angepasst werden.

lokaler Administrator gpo mail report auswertung

 

Ich hoffe wir konnten euch zum Thema Lokaler Administrator Gruppenrichtlinie / GPO weiterhelfen. 🙂

Johannes Huber
 

In seiner Freizeit macht Johannes nichts lieber, als für ITnator Beiträge zu schreiben. Input bekommt er hierfür von Problemen in der IT Administration von Servern, Clients und vielen weiteren IT Komponenten.

Hat dir der Beitrag Lokaler Administrator Gruppenrichtlinie / GPO weitergeholfen? 0 comments
sidebar