Как дать права администратора в windows 10 в домене

Для предоставления прав локального администратора на компьютерах домена сотрудникам техподдержки, службе HelpDesk, определенным пользователям и другим привилегированным аккаунтам, вам нужно добавить необходимых пользователей или группы Active Directory в локальную группу администраторов на серверах или рабочих станциях. В этой статье мы покажем несколько способов управления членами локальной группы администраторов на компьютерах домена вручную и через GPO.

Добавляем пользователя в локальные администраторы компьютера вручную

Самый простой способ предоставить пользователю или группе права локального администратора на конкретном компьютере — добавить его в локальную группу Administrators с помощью оснастки “Локальные пользователи и группы” (Local users and groups — lusrmgr.msc).

После того, как вы добавили компьютер в домен AD, в локальную группу Administrators компьютера автоматически добавляется группы Domain Admins, а группа Domain User добавляется в локальную Users. Остальных пользователей вы можете добавить в группу администраторов вручную или с помощью GPO.

Нажмите кнопку Add и укажите имя пользователя, группы, компьютера или сервисного аккаунта (gMSA), которому вы хотите предоставить права локального администратора. С помощью кнопки Location вы можете переключать между поиском принципалов в домене или на локальном компьютере.

Также вы можете вывести список пользователей с правами локального администратора компьютера из командной строки:

net localgroup administrators

Для получения списка пользователей в локальной группе можно использовать следующую команду PowerShell (используется встроенный модуль LocalAccounts для управления локальными пользователями и группами):

Get-LocalGroupMember administrators

Данная команда показывает класс объекта, которому предоставлены права администратора (ObjectClass = User, Group или Computer) и источник учетной записи или группы (ActiveDirectory, Azure AD или локальные пользователи/группы).

Чтобы добавить доменную группу (или пользователя) spbWksAdmins в локальные администраторы, выполните команду

net localgroup administrators /add spbWksAdmins /domain

Через PowerShell можно добавить пользователя в администраторы так:

Add-LocalGroupMember -Group Administrators -Member ('winitpro\a.novak', 'winitpro\spbWksAdmins','wks-pc11s22\user1') –Verbose

В этом примере мы добавили в администраторы компьютеры пользователя и группу из домена winitpro и локального пользователя wks-pc11s22\user1.

Можно добавить пользователей в группу администраторов на нескольких компьютерах сразу. В этом случая для доступа к удаленного компьютерам можно использовать командлет Invoke-Command из PowerShell Remoting:

$WKSs = @("wks1","wks2","wks3")
Invoke-Command -ComputerName $WKSs –ScriptBlock { Add-LocalGroupMember -Group Administrators -Member 'winitpro\spbWksAdmins'}

Также вы можете полностью отказаться от предоставления прав администратора для доменных пользователей и групп. Для выполнения разовых задач администрирования на компьютерах (установка программ, настройка системных параметров Windows можно использовать встроенного локального администратора с паролем, хранящимся в AD (реализуется с помощью Local Administrator Password Solution (LAPS)).

В доменной среде Active Directory предоставления прав локального администратора на компьютерах домена лучше использовать возможности групповых политик. Это намного проще, удобнее и безопаснее, чем ручное добавление пользователей в локальную группу администраторов на каждом компьютере. В групповых политиках AD есть два способа управления группой администраторов на компьютерах домена:

• Ограниченные группы (Restricted Groups)
• Управление локальным группами через предпочтения групповых политик (Group Policy Preferences)

Добавляем пользователей в локальную группу администраторов через Group Policy Preferences

Допустим, вам нужно предоставить группе сотрудников техподдержки и HelpDesk права локального админа на компьютерах в конкретном OU Active Directory. Создайте в домене новую группу безопасности с помощью PowerShell и добавьте в нее учетные записи сотрудников техподдержки:

New-ADGroup "mskWKSAdmins" -path 'OU=Groups,OU=Moscow,DC=winitpro,DC=ru' -GroupScope Global –PassThru
Add-AdGroupMember -Identity mskWKSAdmins -Members user1, user2, user3

Откройте консоль редактирования доменных групповых политик (GPMC.msc), cоздайте новую политику AddLocaAdmins и назначьте ее на OU с компьютерами (в моем примере это ‘OU=Computers,OU=Moscow,dc=winitpro,DC=ru’).

Предпочтения групповых политик (Group Policy Preferences, GPP) предоставляют наиболее гибкий и удобный способ предоставления прав локальных администраторов на компьютерах домена через GPO.

1. ткройте созданную ранее политику AddLocaAdmins в режиме редактирования;
2. Перейдите в секцию GPO: Computer Configuration –> Preferences –> Control Panel Settings –> Local Users and Groups;
3. Щелкните ПКМ по правому окну и добавите новое правило (New -> Local Group);
4. В поле Action выберите Update (это важная опция!);
5. В выпадающем списке Group Name выберите Administrators (Built-in). Даже если эта группа была переименована на компьютере, настройки будут применены к группе локальных администраторов по ее SID —
   S-1-5-32-544
   ;
6. Нажмите кнопку Add и укажите группы, которые нужно добавить в локальную группу администраторов (в нашем случае это mskWKSAdmins).

   Вы можете удалить из группы администраторов компьютера всех пользователей и группы, добавленных вручную. Для этого включите опции опции “Delete all member users” и “Delete all member groups”. В большинстве случае это целесообразно, т.к. вы гарантируете, что на всех компьютерах права администратора будут только у назначенной доменной группы. Теперь если на компьютере вручную добавить пользователя в группу администраторов, при следующем применении политики он будет автоматически удален.

   

7. Сохраните политику и дождитесь ее применения на клиентах. Чтобы немедленно обновить параметры групповой политики, выполните команду
   gpupdate /force
8. Откройте оснастку lusrmgr.msc на любом компьютере и проверьте членов локальной группы Adminstrators. В группу должна быть добавлена только группа mskWKSAdmins, все остальные пользователи и группы (кроме встроенного администратора Windows) будут удалены.

   Если политика не применилась на клиенте, для диагностики воспользуйтесь командой gpresult. Также убедитесь что компьютер находится в OU, на которое нацелена политика, а также проверьте рекомендации из статьи “Почему не применяются политики в домене AD?”.

   .

Предоставление прав администратора на конкретном компьютере

Иногда нужно предоставить определенному пользователю права администратора на конкретном компьютере. Например, у вас есть несколько разработчиков, которым периодически необходимы повышенные привилегии для тестирования драйверов, отладки, установки на своих компьютерах. Нецелесообразно добавлять их в группу администраторов рабочих станций с правами на всех компьютерах.

Чтобы предоставить права лок. админа на одном конкретном компьютере можно использовать WMI фильтры GPO или Item-level Targeting.

Прямо в созданной ранее политике AddLocalAdmins в секции предпочтений (Computer Configuration –> Preferences –> Control Panel Settings –> Local Users and Groups) создайте новую запись для группы Administrators со следующими настройками:

1. Action: Update
2. Group Name: Administrators (Built-in)
3. Description: “Добавление apivanov в лок. администраторы на компьютере msk-ws24”
4. Members: Add -> apivanov
5. На вкладке Common -> Targeting указать правило: “the NETBIOS computer name is msk-ws24”. Т.е. данная политика будет применяться только на указанном здесь компьютере.

Также обратите внимание на порядок применения групп на компьютере – Order. Настройки локальных групп применяются сверху вниз (начиная с политики с Order 1).

Первая политика GPP (с настройками “Delete all member users” и “Delete all member groups” как описано выше), удаляет всех пользователей/группы из группы локальных администраторов и добавляет указанную доменную группу. Затем применится дополнительная политика для конкретного компьютера и добавит в группу вашего пользователя. Если нужно изменить порядок применения членства в группе Администраторы, воспользуйтесь кнопками вверху консоли редактора GPO.

Управление локальными администраторами через Restricted Groups

Политика групп с ограниченным доступом (Restricted Groups) также позволяет добавить доменные группы/пользователей в локальные группы безопасности на компьютерах. Это более старый способ предоставления прав локального администратора и сейчас используется реже (способ менее гибкий, чем способ с Group Policy Preferences).

1. Перейдите в режим редактирования политики;
2. Разверните секцию Computer Configuration -> Policies -> Security Settings -> Restrictred Groups (Конфигурация компьютера -> Политики -> Параметры безопасности -> Ограниченные группы);
3. В контекстном меню выберите Add Group;
4. В открывшемся окне укажите Administrators -> Ok;
5. В секции “Members of this group” нажмите Add и укажите группу, которую вы хотите добавить в локальные админы;
6. Сохраните изменения, примените политику на компьютеры пользователей и проверьте локальную групп Administrators. В ней должна остаться только указанная в политике группа.

   Данная политика всегда (!) удаляет всех имеющихся членов в группе локальных администраторов (добавленных вручную, другими политиками или скриптами).

Если вам нужно оставить текущий список группы Administrators и добавить в нее дополнительную группу нужно:

1. Создать новый элемент в Restricted Groups и указать в качестве имени группу безопасности AD, которую вы хотите добавить в локальные админы;
2. Затем в разделе This group is a member of нужно добавить группу Administrators;
3. Обновите настройки GPO на клиенте и убедитесь, что ваша группа была добавлена в локальную группу Administrator. При этом текущие принципалы в локальной группе остаются неторонутыми (не удаляются из группы).

В конце статьи оставлю базовые рекомендации по управлению правами администраторов на компьютерах пользователей AD:

В классических рекомендациях по безопасности Microsoft рекомендуется использовать следующие группы для разделения полномочиями администраторов в домене:

• Domain Admins – администраторы домена, используются только на контроллерах домена;

  С точки зрения безопасности привилегированных аккаунтов администраторов не рекомендуется выполнять повседневные задачи администрирования рабочих станций и серверов под учетной записью с правами администратора домена. Такие учётные записи нужно использовать только для задач администрирования AD (добавление новых контроллеров домена, управление репликацией, модификация схемы и т.д.). Большинство задач управления пользователями, компьютерами и политиками в домене можно делегировать для обычных учетных записей администраторов. Не используйте аккаунты из группы Domain Admins для входа на любые рабочие станции и сервера хроме контроллеров домена.

• Server Admins – группа для управления на рядовыми Windows Server домена. Не должна состоять в группе Domain Admins и не должна включаться в группу локальных администраторов на рабочих станциях;
• Workstation Admins – группа только для администрирования компьютеров. Не должна входить или содержать группы Domain Admins и Server Admins;
• Domain Users – обычные учетные записи пользователей для выполнения типовых офисных операций. Не должны иметь прав администратора на серверах или рабочих станциях;
• Не рекомендуется добавлять в администраторы индивидуальные аккаунты пользователей, лучше использовать доменные группы безопасности. В этом случае, чтобы предоставить права администраторов очередному сотруднику тех. поддержки, вам достаточно добавить его в доменную группу (не придется редактировать GPO).

В некоторых случаях появляется необходимость в добавление доменного пользователя в группу локальных администратор. Это нужно потому что некоторые программы для запуска требуют права администратора локального либо доменного. Например, программа IMS300 для видеонаблюдения при запуске требует ввода пароля администратора. Добавление локальных прав нужно делать в том случае года доменный пользователь не включен в группу администраторов в домене. Можно конечно его туда добавить, но это неправильно.

Как добавить пользователя в локальные администраторы Windows 10

И так что нужно сделать для добавления доменного пользователя в группу локальных администраторов. Заходим в компьютер под доменной учет необходимого пользователя ( в этом случае необходимо знать логин и пароль администратора домена так при добавление понадобиться соответствующие права) или администратора домена. Я буду добавлять под учеткой доменного администратора. Заходим в пуск ищем пункт Этот компьютер кликаем на нем правой кнопкой и выбираем пункт Управление.

Откроется окно Управление компьютером. В нем слева ищем пункт Локальные пользователе и группы. Далее выбираем Группы и справа ищем группу Администраторы. Кликаем на ней правой кнопкой и выбираем пункт Добавить в группу.

В окне Свойств группы администраторы кликаем добавить.

Далее кликаем Типы объектов.

В типах объектов отмечаем только Пользователей. Можно конечно этого и не делать, но так будет проще найти нужного пользователя.

Далее открываем Дополнительно.

Кликаем пункт Поиск и снизу ищем нужного пользователя после чего нажимаем ОК. Закрываем все окна перезагружаем компьютер входим под пользователем которого добавили в локальные администраторы и проверяем настройку прав.

Можно пропустить несколько шагов начиная с выбора типа объектов. Просто в поле Введите имена… вписываем нужного пользователя и кликаем ОК.

Таким образом вы сможете добавить доменного пользователя в локальные администраторы компьютера.

Права администратора в домене Windows 10 – это особые привилегии, которые позволяют пользователю управлять системой, выполнять различные настройки и изменения. Назначение полных прав администратора в домене может быть необходимо, если вы являетесь системным администратором или нуждаетесь в расширенных возможностях для выполнения определенных задач.

Существует несколько способов назначить полные права администратора в домене Windows 10. Одним из способов является использование учетной записи администратора домена. Эта учетная запись обладает максимальными привилегиями и позволяет выполнять любые действия в системе. Чтобы назначить полные права администратора с использованием учетной записи администратора домена, необходимо выполнить определенные шаги, которые обеспечат доступ к этой учетной записи и активируют ее.

Другим способом назначения полных прав администратора в домене Windows 10 является добавление пользователя в группу администраторов. Это позволяет пользователю получить расширенные возможности без необходимости использования учетной записи администратора домена. Для этого нужно выполнить некоторые настройки в меню учетных записей и добавить пользователя в группу администраторов.

Назначение полных прав администратора в домене Windows 10 – это важная процедура, которая позволяет получить доступ к расширенным возможностям системы. Правильное назначение полных прав администратора поможет вам эффективно управлять системой и выполнять необходимые настройки и изменения.

Получение полных прав администратора в домене Windows 10

Для получения полных прав администратора в домене Windows 10 необходимо выполнить несколько шагов.

1. Войдите в систему от имени пользователя, обладающего правами администратора в домене. Если у вас нет учетной записи администратора, обратитесь к администратору домена для получения соответствующих прав.

2. Откройте «Панель управления» и выберите «Учетные записи пользователей».

3. Нажмите на «Создать учетную запись» и введите имя пользователя и пароль для новой учетной записи.

4. После создания учетной записи на панели управления выберите «Учетные записи пользователя» и найдите только что созданную учетную запись.

5. Нажмите на учетную запись и выберите «Изменить тип учетной записи». В выпадающем меню выберите «Администратор» и нажмите «OK».

6. После этого вам может потребоваться перезагрузить компьютер для применения изменений.

Теперь у вас есть полные права администратора в домене Windows 10, что позволяет вам выполнять все необходимые действия и изменения в системе.

Войдите в аккаунт администратора

Шаг 1: Начните процесс входа в аккаунт администратора, чтобы назначить полные права в домене Windows 10. Для этого необходимо запустить компьютер и перейти на экран входа.

Шаг 2: Введите учетные данные администратора, включая имя пользователя и пароль, чтобы получить доступ к учетной записи администратора.

Шаг 3: Проверьте правильность введенных данных и нажмите на кнопку «Войти» или нажмите клавишу «Enter» на клавиатуре, чтобы авторизоваться в аккаунте администратора.

Шаг 4: После успешного входа в аккаунт администратора вы получите полный доступ к настройкам и функциям операционной системы Windows 10.

Примечание: Учетная запись администратора предоставляет расширенные привилегии и позволяет вносить изменения в систему, включая назначение полных прав в домене.

Откройте «Панель управления»

Для назначения полных прав администратора в домене Windows 10, необходимо открыть «Панель управления». Панель управления предоставляет доступ к различным настройкам и функциям операционной системы.

Для открытия «Панели управления» можно воспользоваться несколькими способами. Один из них — нажать правой кнопкой мыши на значок «Пуск» в левом нижнем углу экрана и выбрать в контекстном меню пункт «Панель управления».

Также можно воспользоваться поиском в системе. Для этого необходимо нажать комбинацию клавиш Win + S, ввести в поисковую строку «Панель управления» и выбрать соответствующий результат.

После открытия «Панели управления» можно приступить к назначению полных прав администратора в домене Windows 10, следуя дальнейшим инструкциям или используя инструменты, доступные в «Панели управления».

Выберите «Учетные записи пользователей»

Для назначения полных прав администратора в домене Windows 10 необходимо выполнить следующие шаги.

1. Откройте меню «Пуск» и выберите «Настройки».
2. В открывшемся окне выберите пункт «Учетные записи».
3. Далее выберите «Учетные записи пользователей».
4. В появившемся окне будет отображен список всех учетных записей на вашем компьютере.

Чтобы назначить полные права администратора, найдите нужную учетную запись в списке и выберите ее.

Затем нажмите на кнопку «Изменить тип учетной записи» и выберите «Администратор» из выпадающего списка.

После этого нажмите «OK» для сохранения изменений.

Теперь выбранная учетная запись будет обладать полными правами администратора в домене Windows 10.

Откройте «Управление пользователями»

Для назначения полных прав администратора в домене Windows 10 необходимо открыть «Управление пользователями». Для этого вам потребуется иметь права администратора на компьютере.

Шаг 1: Нажмите на кнопку «Пуск» в левом нижнем углу экрана и введите «Управление пользователями» в строке поиска.

Шаг 2: В поисковых результатах выберите «Управление пользователями» и нажмите на него.

Шаг 3: Откроется окно «Управление пользователями», в котором вы сможете увидеть список всех пользователей на компьютере, включая учетную запись администратора.

Шаг 4: Чтобы назначить полные права администратора, выберите учетную запись администратора и щелкните правой кнопкой мыши. В появившемся контекстном меню выберите «Свойства».

Шаг 5: В открывшемся окне «Свойства пользователя» перейдите на вкладку «Членство в группах». Здесь вы сможете добавить пользователя в группу «Администраторы» и подтвердить изменения.

После выполнения этих шагов пользователь получит полные права администратора в домене Windows 10. Помните, что назначение полных прав администратора требует особой осторожности, так как это может повлиять на безопасность и стабильность работы компьютера.

Создайте нового пользователя в домене

Для назначения полных прав администратора в домене Windows 10 необходимо создать нового пользователя в системе. Чтобы это сделать, следуйте инструкциям:

1. Откройте панель управления системой Windows 10.
2. Выберите раздел «Учетные записи пользователей».
3. Нажмите на кнопку «Добавить нового пользователя».
4. Заполните необходимые поля, включая имя пользователя, пароль и описание.
5. Укажите роль пользователя. В данном случае выберите «Администратор».
6. Нажмите на кнопку «Создать» для завершения процесса создания нового пользователя.

После успешного создания нового пользователя в домене, вам будет доступна возможность назначения полных прав администратора для данного пользователя. Теперь вы можете перейти к настройке прав доступа в системе.

Добавьте нового пользователя в группу «Администраторы»

Если вам необходимо назначить полные права администратора в домене Windows 10, вы можете добавить нового пользователя в группу «Администраторы». Это позволит этому пользователю иметь полный доступ ко всем функциям и настройкам операционной системы.

Для добавления нового пользователя в группу «Администраторы» выполните следующие шаги:

1. Откройте меню «Пуск» и выберите «Параметры».
2. В окне «Параметры» выберите «Учетные записи».
3. На вкладке «Семья и другие пользователи» выберите «Добавить кого-то другого в этот компьютер».
4. Выберите «Я не имею данных для входа этого человека» и далее «Добавить пользователя без учетной записи Microsoft».
5. Заполните необходимые данные для нового пользователя и выберите «Далее».
6. На следующем экране выберите «Параметры учетной записи» и затем «Изменить тип учетной записи».
7. Выберите «Администратор» и сохраните изменения.

Теперь новый пользователь будет иметь полные права администратора в домене Windows 10. Он сможет управлять системой, устанавливать и удалять программы, изменять настройки и выполнять другие административные задачи.

Войдите в систему от имени нового пользователя

Чтобы назначить полные права администратора в домене Windows 10, необходимо войти в систему от имени нового пользователя. Перед этим убедитесь, что у вас есть учетная запись администратора, а также права на изменение настроек домена.

Для входа от имени нового пользователя выполните следующие шаги:

1. Нажмите комбинацию клавиш Win + R, чтобы открыть окно «Выполнить».
2. Введите команду «netplwiz» и нажмите Enter, чтобы открыть окно «Пользователи и группы пользователей».
3. В списке пользователей выберите нового пользователя, от имени которого вы хотите войти в систему.
4. Снимите флажок с опции «Требовать ввод имени пользователя и пароля».
5. Нажмите «Применить» и введите пароль нового пользователя.
6. Подтвердите пароль и нажмите «ОК».

Теперь вы можете выйти из системы и войти в нее от имени нового пользователя, который будет иметь полные права администратора в домене Windows 10. Обратите внимание, что для выполнения этих действий вам понадобятся права администратора или подтверждение администратора.