Computer >> Hướng Dẫn Máy Tính >  >> Hệ Thống >> Windows 10

Thêm user vào nhóm Local Admin qua Group Policy

Bạn có thể dùng GPO (Group Policy) để thêm user và nhóm Active Directory vào nhóm Administrators cục bộ trên server và workstation joined domain. Cho phép cấp đặc quyền admin cục bộ trên máy domain cho nhân viên hỗ trợ kỹ thuật, HelpDesk, user cụ thể hoặc tài khoản đặc quyền. Bài này chỉ cách quản lý thành viên nhóm Administrator cục bộ trên máy domain dùng GPO.

Nhóm Local Administrators trong Active Directory Domain

Khi join máy vào domain AD, nhóm Domain Admins tự động thêm vào Administrators cục bộ, và Domain User thêm vào Users cục bộ.

Cách dễ nhất cấp đặc quyền admin cục bộ là thêm user/nhóm vào nhóm bảo mật cục bộ Administrators dùng snap-in Local users and groups (lusrmgr.msc). Tuy nhiên, cách này không tiện nếu nhiều máy và sau một thời gian người không mong muốn vẫn ở nhóm đặc quyền. Nếu dùng cách này cấp đặc quyền, không tiện kiểm soát thành viên local admins trên từng máy domain.

Microsoft khuyên dùng các nhóm sau tách đặc quyền admin trong domain AD:

  1. Domain Admins chỉ dùng trên domain controller; Về bảo mật tài khoản admin đặc quyền, không khuyến khích thực hiện tác vụ admin hàng ngày trên workstation/server dưới tài khoản Domain Admin. Tài khoản này chỉ dùng quản trị AD (thêm DC mới, quản lý replication, sửa schema AD, v.v.). Hầu hết tác vụ quản lý user, computer, GPO phải ủy quyền cho tài khoản admin thông thường (không quyền Domain Admin). Không dùng tài khoản Domain Admin đăng nhập workstation/server ngoài DC.
  2. Server Admins nhóm cho phép quản lý member server domain. Không được là thành viên Domain Admins hoặc local Administrators trên workstation;
  3. Workstation Admins nhóm thực hiện tác vụ admin trên workstation. Không được là thành viên Domain Admins và Server Admins;
  4. Domain Users tài khoản user phổ thông làm việc văn phòng. Không được có đặc quyền admin trên server/workstation.

Bạn cũng có thể hoàn toàn từ chối cấp đặc quyền admin cho user/nhóm domain. Trong trường hợp này, tài khoản Administrator cục bộ tích hợp với mật khẩu lưu trong AD (dựa trên LAPS) dùng thực hiện tác vụ admin trên workstation.

Giả sử, bạn muốn cấp đặc quyền admin cục bộ trên máy trong OU cụ thể cho nhóm nhân viên hỗ trợ kỹ thuật và HelpDesk. Tạo nhóm bảo mật mới trong domain dùng PowerShell và thêm tài khoản hỗ trợ:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=woshub,DC=com' -GroupScope Global –PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

Mở console Group Policy Management domain (GPMC.msc), tạo policy (GPO) mới AddLocaAdmins và link tới OU chứa máy (ví dụ 'OU=Computers,OU=Munich,OU=DE,DC=woshub,DC=com').

AD Group Policy cung cấp hai phương pháp quản lý nhóm cục bộ trên máy domain. Hãy xem lần lượt:

  • Quản lý nhóm cục bộ dùng Group Policy Preferences;
  • Restricted Groups.

Thêm user domain vào Local Administrators qua GPO Preferences

Group Policy Preferences (GPP) cung cấp cách linh hoạt, tiện lợi nhất cấp đặc quyền admin cục bộ trên máy domain qua GPO.

  1. Mở GPO AddLocaAdmins tạo trước ở chế độ Edit;
  2. Vào mục GPO: Computer Configuration → Preferences → Control Panel Settings → Local Users and Groups;
  3. Thêm quy tắc mới (New → Local Group);
  4. Chọn Update trong trường Action (tùy chọn quan trọng!);
  5. Trong dropdown Group Name, chọn Administrators (Built-in). Dù nhóm này đã đổi tên trên máy, cài đặt áp dụng cho nhóm Administrators cục bộ theo SID — S-1-5-32-544;
  6. Nhấp Add chọn nhóm muốn thêm vào local administrators (trường hợp là munWKSAdmins); Nếu muốn xóa user/nhóm thêm thủ công khỏi nhóm Admins cục bộ hiện tại, tích "Delete all member users" và "Delete all member groups". Trong hầu hết trường hợp hợp lý vì đảm bảo chỉ nhóm domain được gán mới có quyền admin trên máy domain. Lúc này nếu thêm user vào Administrators thủ công qua snap-in "Local users and groups", nó tự xóa lần sau policy áp dụng.
  7. Lưu policy và chờ áp dụng trên workstation. Áp dụng ngay bằng lệnh gpupdate /force trên máy user;
  8. Mở lusrmgr.msc trên bất kỳ máy nào và kiểm tra thành viên nhóm Administrators cục bộ. Chỉ nhóm munWKSAdmins được thêm, user/nhóm khác bị xóa. Hiển thị danh sách local administrators: net localgroup Administrators

Nếu policy không áp dụng trên máy domain, dùng gpresult chẩn đoán. Đảm bảo máy ở OU GPO link tới và xem khuyến nghị bài "Group policy objects not being applied to computers".

Bạn cấu hình điều kiện chi tiết (granular) áp dụng policy trên máy cụ thể dùng WMI filter GPO hoặc Item-level Targeting.

Trường hợp thứ hai, vào tab Common tích Item-level targeting. Nhấp Targeting. Chỉ định điều kiện áp dụng policy. Ví dụ, tôi muốn policy thêm nhóm admin chỉ áp dụng cho máy Windows 10, tên NetBIOS/DNS không chứa adm. Bạn dùng tùy chọn lọc riêng.

Không khuyến khích thêm tài khoản user riêng lẻ vào policy. Tốt hơn dùng nhóm bảo mật domain. Lúc này, cấp quyền admin cho nhân viên hỗ trợ khác, chỉ cần thêm vào nhóm domain (không sửa GPO).

Quản lý nhóm Local Admins dùng Restricted Groups

Chính sách Restricted Groups cũng cho thêm domain group/user vào nhóm bảo mật cục bộ trên máy. Đây phương pháp cũ cấp đặc quyền admin cục bộ và ít dùng hơn (kém linh hoạt hơn GPP).

  1. Mở GPO chế độ edit;
  2. Mở rộng Computer Configuration → Policies → Security Settings → Restricted Groups;
  3. Chọn Add Group menu ngữ cảnh;
  4. Cửa sổ tiếp theo nhập Administrators và OK;
  5. Nhấp Add mục Members of this group chỉ định nhóm muốn thêm vào local admins;
  6. Lưu thay đổi, áp dụng policy máy user và kiểm tra nhóm Administrators cục bộ. Phải chỉ chứa nhóm chỉ định trong policy.

Policy này luôn (!) xóa tất cả thành viên khác của nhóm local administrators (thêm thủ công, hoặc dùng policy/script khác). Nếu nhiều policy Restricted Groups hoạt động cho máy, chỉ policy cuối áp dụng. Khắc phục bằng cách thêm munWKSAdmins vào Restricted Groups, rồi thêm nhóm này vào Administrators.

Dùng GPO thêm user đơn lẻ vào Local Admin trên máy cụ thể

Đôi khi cần cấp đặc quyền admin cho user đơn lẻ trên máy cụ thể. Ví dụ, có developer cần đặc quyền thỉnh thoảng test driver, debug hoặc cài trên máy của họ. Không nên thêm vào nhóm workstation admins trên tất cả máy.

Để cấp đặc quyền admin cục bộ trên máy cụ thể, dùngcheme sau:

Ngay trong phần GPP (Computer Configuration → Preferences → Control Panel Settings → Local Users and Groups) của policy AddLocalAdmins tạo trước, tạo entry mới cho nhóm Administrators với cài đặt:

  • Action: Update
  • Group Name: Administrators (Built-in)
  • Description: "Add amuller to the local administrators on the mun-dev-wsk21 computer"
  • Members: Add → amuller
  • Tab Common → Targeting, quy tắc: "the NETBIOS computer name is mun—dev-wks24." Nghĩa là policy chỉ áp dụng máy chỉ định.

Chú ý thứ tự áp dụng nhóm trên máy (cột Order GPP). Cài đặt nhóm cục bộ áp dụng từ trên xuống (bắt đầu policy Order 1).

Policy GPP đầu (với "Delete all member users" và "Delete all member groups" như trên) xóa tất cả user/nhóm khỏi local admin và thêm nhóm domain chỉ định. Sau đó policy cụ thể máy áp dụng thêm user chỉ định vào local admins. Nếu muốn thay thứ tự thành viên nhóm Administrators, dùng nút trên console GPO Editor.