Wie verwalte ich Windows wie Linux / Unix: Administratorrechte nach Gruppenmitgliedschaft ohne Unfälle und ohne Freigabe des Administratorkennworts?

Ich nehme einige grundlegende Änderungen an einer Windows Server 2003/2008-Umgebung vor. Auf der Unix-Seite sind meine Sicherheitsbeschränkungen einfach:

1. Benutzer, die über Administratorrechte verfügen sollten, gehören einer speziellen Gruppe an ("Rad" oder ähnliches).
2. Wenn sich diese Benutzer auf diesen Computern anmelden, haben sie immer noch keine Administratorrechte, bis sie explizit einen Befehl mit diesen Administratorrechten ausführen ("sudo command" oder "su").
3. Selbst wenn sie den Befehl mit "su" ausführen (ähnlich wie "runas"), müssen sie dennoch ein Passwort eingeben: ihr eigenes.

In diesem System kann ich steuern, wer über Administratorrechte verfügt (durch Gruppenmitgliedschaft), verhindern, dass diese versehentlich etwas mit Administratorrechten ausführen (indem sie "su" oder "sudo" benötigen), und niemals einen zentralen "Administrator" (dh) offenlegen "root") Passwort, da sie nach ihrem eigenen gefragt werden.

Wie mache ich das Äquivalent unter Windows Server? Die Optionen, wie ich es sehe, sind:

1. Benutzer zum lokalen Administratorkonto hinzufügen: Aber alles , was sie tun, ist als Administrator, was zu Fehlern führen kann.
2. Fordern Sie sie auf, "runas Administrator" auszuführen: Aber dann müssen sie das Administratorkennwort kennen, das ich nicht weitergeben möchte.

Gibt es eine Lösung, bei der ich gleichzeitig steuern kann: Wer hat Zugriff durch Gruppenmitgliedschaft? Verhindern Sie, dass sie versehentlich Schaden anrichten, indem Sie ein separates Passwort benötigen. verhindern, dass sie jemals das Administratorkennwort kennen?

Zunächst sollten nur Administratoren Administratorzugriff erhalten. Wenn es also keinen RIESIGEN Grund gibt (ich kann mir keinen guten vorstellen), den sie benötigen, sollte dies den Administratoren überlassen bleiben. Es gibt seltene Fälle, in denen ein normaler Benutzer Administratorrechte erhält, und selbst dann bin ich normalerweise skeptisch, warum er diese benötigt.

Zweitens können Sie mithilfe der Gruppenmitgliedschaft in Windows das erreichen, was Sie tun möchten. Sie haben nicht gesagt, dass Sie Active Directory verwenden, daher bin ich mir nicht sicher, ob Sie eine Domäne haben und dies tun, aber Sie können Sicherheitsgruppen erstellen und ihnen einzelne Benutzerkonten hinzufügen. Siehe hier. Ich würde Benutzer nicht einzeln zur lokalen Administratorgruppe auf dem Server hinzufügen, da dies unübersichtlich und schwer zu verfolgen ist und Ihnen viel Kopfschmerzen und potenzielle Sicherheitsprobleme bereitet. Wie oben erwähnt, würde ich eine Sicherheitsgruppe erstellen und die Mitglieder hinzufügen, auf die Sie Administratorzugriff haben möchten. Sie würden zwei Benutzerkonten für Ihre Benutzer erstellen. eine für die reguläre Anmeldung und dann ein zweites Konto, das nur für erhöhte Aktionen verwendet wurde. Sie würden das Benutzerkonto "höher / privilegiert" zur Sicherheitsgruppe hinzufügen und diese Gruppe dann in eine erhöhte lokale Gruppenmitgliedschaft auf dem tatsächlichen Server einfügen, z. B. Hauptbenutzer. Auf diese Weise können sie viele Funktionen ausführen, ohne Administratoren zu sein.

Was Run As Administrator betrifft, müssen Sie dies nicht immer tun. Der beste Weg, um Benutzer Dinge ausführen zu lassen, ohne den Administrator oder ein Administratorkennwort zu kennen, besteht darin, Umschalt + Rechtsklick zu verwenden und dann Als anderen Benutzer ausführen oder Rechtsklick und Als Administrator ausführen auszuwählen. Sie möchten zuerst einen separaten Benutzer für sie erstellen, der über höhere Rechte oder erhöhte Rechte wie oben erwähnt verfügt (dieser erhöhte Benutzer wird wie oben erwähnt erneut zur Sicherheitsgruppe hinzugefügt), da dieser Benutzer dann zum Ausführen von Dingen verwendet werden kann, die Während der Anmeldung mit einem normalen / Standardbenutzerkonto ist eine Erhöhung erforderlich. Siehe meinen Screenshot:

Das sollte sich darum kümmern, was Sie tun möchten, um Dinge als Administrator auszuführen. Ein letzter Hinweis, den ich hinzufügen könnte, ist, die Benutzerkontensteuerung beizubehalten. In diesem Fall müssen die Benutzer ihr (erhöhtes) Kennwort und kein Administratorkennwort für die auf dem Server ausgeführten Aufgaben eingeben. Es ist ein Schmerz, wenn man es viel eingeben muss, aber aus Sicherheitsgründen lohnt es sich.

Lassen Sie ihr Standardkonto als "Standard". Erstellen Sie ihnen ein privilegiertes zweites Konto und fügen Sie dieses den verschiedenen Verwaltungsgruppen hinzu. Verwenden Sie 'runas' mit dem privilegierten Konto. (Es kann nützlich sein, interaktive Anmeldungen mit dem Administratorkonto zu deaktivieren, aber andererseits wird dies wahrscheinlich ärgerlich.)

In Server 2003 müssen Sie die Run As...Option verwenden, um als Konto mit Administratorrechten ausgeführt zu werden.

Mit Server 2008+ verwenden Sie die Benutzerkontensteuerung und / oder die von Run as AdministratorIhnen vorgeschlagene Option. Dies erfordert keine Kenntnis des Kennworts für das [lokale] Administratorkonto - alle administrativen Anmeldeinformationen reichen aus.

Sie würden also ihre Konten zu den lokalen Verwaltungsgruppen hinzufügen oder aus Sicherheitsgründen separate Verwaltungskonten erstellen und sie den lokalen Verwaltungsgruppen hinzufügen. Wenn sie dann etwas mit Administratorrechten ausführen müssen, fordert die Benutzerkontensteuerung zur Eingabe von Administratoranmeldeinformationen auf und / oder sie verwenden die Option Run As.../ Run as Administrator.