مجوز دسترسی در Active Directory
با سلام
می خواهیم در یک دامنه سازمانی به کاربری از Active Directory مجوز Join Domain , Rename Computer Name و Local Admin نمودن نام کاربران AD بر روی کلاینت ها ( انجام تغییرات مورد نیاز بر روی client) را بدهیم ، بدون اینکه سطح دسترسی کاربر مورد نظر در حد administrator یا Domain Admin باشد . چه راه حلی را پیشنهاد می کنید ؟
8 پاسخ
برای Delegate کردن Rename کردن Computer name های کلاینت ها وارد کنسول ADUC بشید و روی OU ای که یوزر های Help desk توش هستن راست کلیک کنید و گزینه Delegate Control رو انتخاب کنید. حالا یوزر یا گروه هایی که میخواین این دسترسی رو به اونا Delegate کنید رو اضافه کنید و Next رو بزنید. حالا گزینه Create a custom task to delegate رو انتخاب کنید و Next رو بزنید. گزینه Only the following objects in the folder و سپس Computer object رو انتخاب کنید و Next و Finish رو بزنید و تمام. برای Join کردن سیستم های کلاینت هم این لینک رو ببینید. برای ادمین لوکال کردن یوزر لینک زیر رو ببینید. البته پیشنهاد نمی کنم که این کار رو انجام بدید چون با این کار عملا شبکه تون هک شده به حساب میاد.
سلام ، اگه ابهامی در مورد این موضوع دارید لطفا بفرمایید تا براتون توضیح بدم. متشکرم
خوشحالم که مشکلتون حل شده. لطفا سئوال جدیدتون رو در قالب پست جداگانه ارسال کنید تا کامل شما رو راهنمایی کنیم. متشکرم
من قبلا مقاله ای در این خصوص خوانده بودم که در آن اشاره شده بود که پس از انتخاب computer object ،write all properties ، permission را بدهیم که با این دسترسی امکان rename نمودن کامپیوتر ها برای گروه مورد نظر فراهم نشد .
چه خطایی دریافت کردید زمانی که خواستید Computer name رو تغییر بدید ؟
ممنون از راهنمایی شما، من در حال حاضر ازGPO و restricted groups استفاده کردم و دسترسی administrators را به گروه های خاص دادم ولی می خواهم امکان add/remove program را برای کاربران عادی داشته باشم بدون استفاده از فایل های msi و بدون publish از طریق AD
شما یوزر دامین رو باید عضو گروه Local Administrators کنید تا بتونه Computer name رو Rename کنه. در ضمن فکر می کنم شما هدف از Delegate کردن Permission ها را خوب درک نکردید. اینکه توی کنسول ADUC میاید و یکسری کار ها رو Delegate می کنید بصورت کلی این کار در سطح اکتیودایرکتوری و دامین کنترلر انجام میشه نه در سطح Computer. اینکه شما میخواید یوزر بتونه Computer name یک سیستم رو تغییر بده علاوه بر اینکه روی Computer Object ها باید دسترسی Write داشته باشه باید دسترسی Local Admin هم روی اون کامپیوتر داشته باشه.
منdelegate را بر روی domain انجام دادم نه ou ،بر روی کلاینتی که عضو دامین هست با یوزری که در گروهی هست که دسترسی به آن داده شده به کلاینت login کردم در my computer properties ،
change setting کردم مجددا از من یوزر و پسوردی با دسترسی administrator می خواهد
("type an administrator password ,and try again")