Windows 10 добавить пользователя в группу администраторы

Для предоставления прав локального администратора на компьютерах домена сотрудникам техподдержки, службе HelpDesk, определенным пользователям и другим привилегированным аккаунтам, вам нужно добавить необходимых пользователей или группы Active Directory в локальную группу администраторов на серверах или рабочих станциях. В этой статье мы покажем несколько способов управления членами локальной группы администраторов на компьютерах домена вручную и через GPO.

Добавляем пользователя в локальные администраторы компьютера вручную

Самый простой способ предоставить пользователю или группе права локального администратора на конкретном компьютере — добавить его в локальную группу Administrators с помощью оснастки “Локальные пользователи и группы” (Local users and groups — lusrmgr.msc).

После того, как вы добавили компьютер в домен AD, в локальную группу Administrators компьютера автоматически добавляется группы Domain Admins, а группа Domain User добавляется в локальную Users. Остальных пользователей вы можете добавить в группу администраторов вручную или с помощью GPO.

Нажмите кнопку Add и укажите имя пользователя, группы, компьютера или сервисного аккаунта (gMSA), которому вы хотите предоставить права локального администратора. С помощью кнопки Location вы можете переключать между поиском принципалов в домене или на локальном компьютере.

Также вы можете вывести список пользователей с правами локального администратора компьютера из командной строки:

net localgroup administrators

Для получения списка пользователей в локальной группе можно использовать следующую команду PowerShell (используется встроенный модуль LocalAccounts для управления локальными пользователями и группами):

Get-LocalGroupMember administrators

Данная команда показывает класс объекта, которому предоставлены права администратора (ObjectClass = User, Group или Computer) и источник учетной записи или группы (ActiveDirectory, Azure AD или локальные пользователи/группы).

Чтобы добавить доменную группу (или пользователя) spbWksAdmins в локальные администраторы, выполните команду

net localgroup administrators /add spbWksAdmins /domain

Через PowerShell можно добавить пользователя в администраторы так:

Add-LocalGroupMember -Group Administrators -Member ('winitpro\a.novak', 'winitpro\spbWksAdmins','wks-pc11s22\user1') –Verbose

В этом примере мы добавили в администраторы компьютеры пользователя и группу из домена winitpro и локального пользователя wks-pc11s22\user1.

Можно добавить пользователей в группу администраторов на нескольких компьютерах сразу. В этом случая для доступа к удаленного компьютерам можно использовать командлет Invoke-Command из PowerShell Remoting:

$WKSs = @("wks1","wks2","wks3")
Invoke-Command -ComputerName $WKSs –ScriptBlock { Add-LocalGroupMember -Group Administrators -Member 'winitpro\spbWksAdmins'}

Также вы можете полностью отказаться от предоставления прав администратора для доменных пользователей и групп. Для выполнения разовых задач администрирования на компьютерах (установка программ, настройка системных параметров Windows можно использовать встроенного локального администратора с паролем, хранящимся в AD (реализуется с помощью Local Administrator Password Solution (LAPS)).

В доменной среде Active Directory предоставления прав локального администратора на компьютерах домена лучше использовать возможности групповых политик. Это намного проще, удобнее и безопаснее, чем ручное добавление пользователей в локальную группу администраторов на каждом компьютере. В групповых политиках AD есть два способа управления группой администраторов на компьютерах домена:

• Ограниченные группы (Restricted Groups)
• Управление локальным группами через предпочтения групповых политик (Group Policy Preferences)

Добавляем пользователей в локальную группу администраторов через Group Policy Preferences

Допустим, вам нужно предоставить группе сотрудников техподдержки и HelpDesk права локального админа на компьютерах в конкретном OU Active Directory. Создайте в домене новую группу безопасности с помощью PowerShell и добавьте в нее учетные записи сотрудников техподдержки:

New-ADGroup "mskWKSAdmins" -path 'OU=Groups,OU=Moscow,DC=winitpro,DC=ru' -GroupScope Global –PassThru
Add-AdGroupMember -Identity mskWKSAdmins -Members user1, user2, user3

Откройте консоль редактирования доменных групповых политик (GPMC.msc), cоздайте новую политику AddLocaAdmins и назначьте ее на OU с компьютерами (в моем примере это ‘OU=Computers,OU=Moscow,dc=winitpro,DC=ru’).

Предпочтения групповых политик (Group Policy Preferences, GPP) предоставляют наиболее гибкий и удобный способ предоставления прав локальных администраторов на компьютерах домена через GPO.

1. ткройте созданную ранее политику AddLocaAdmins в режиме редактирования;
2. Перейдите в секцию GPO: Computer Configuration –> Preferences –> Control Panel Settings –> Local Users and Groups;
3. Щелкните ПКМ по правому окну и добавите новое правило (New -> Local Group);
4. В поле Action выберите Update (это важная опция!);
5. В выпадающем списке Group Name выберите Administrators (Built-in). Даже если эта группа была переименована на компьютере, настройки будут применены к группе локальных администраторов по ее SID —
   S-1-5-32-544
   ;
6. Нажмите кнопку Add и укажите группы, которые нужно добавить в локальную группу администраторов (в нашем случае это mskWKSAdmins).

   Вы можете удалить из группы администраторов компьютера всех пользователей и группы, добавленных вручную. Для этого включите опции опции “Delete all member users” и “Delete all member groups”. В большинстве случае это целесообразно, т.к. вы гарантируете, что на всех компьютерах права администратора будут только у назначенной доменной группы. Теперь если на компьютере вручную добавить пользователя в группу администраторов, при следующем применении политики он будет автоматически удален.

   

7. Сохраните политику и дождитесь ее применения на клиентах. Чтобы немедленно обновить параметры групповой политики, выполните команду
   gpupdate /force
8. Откройте оснастку lusrmgr.msc на любом компьютере и проверьте членов локальной группы Adminstrators. В группу должна быть добавлена только группа mskWKSAdmins, все остальные пользователи и группы (кроме встроенного администратора Windows) будут удалены.

   Если политика не применилась на клиенте, для диагностики воспользуйтесь командой gpresult. Также убедитесь что компьютер находится в OU, на которое нацелена политика, а также проверьте рекомендации из статьи “Почему не применяются политики в домене AD?”.

   .

Предоставление прав администратора на конкретном компьютере

Иногда нужно предоставить определенному пользователю права администратора на конкретном компьютере. Например, у вас есть несколько разработчиков, которым периодически необходимы повышенные привилегии для тестирования драйверов, отладки, установки на своих компьютерах. Нецелесообразно добавлять их в группу администраторов рабочих станций с правами на всех компьютерах.

Чтобы предоставить права лок. админа на одном конкретном компьютере можно использовать WMI фильтры GPO или Item-level Targeting.

Прямо в созданной ранее политике AddLocalAdmins в секции предпочтений (Computer Configuration –> Preferences –> Control Panel Settings –> Local Users and Groups) создайте новую запись для группы Administrators со следующими настройками:

1. Action: Update
2. Group Name: Administrators (Built-in)
3. Description: “Добавление apivanov в лок. администраторы на компьютере msk-ws24”
4. Members: Add -> apivanov
5. На вкладке Common -> Targeting указать правило: “the NETBIOS computer name is msk-ws24”. Т.е. данная политика будет применяться только на указанном здесь компьютере.

Также обратите внимание на порядок применения групп на компьютере – Order. Настройки локальных групп применяются сверху вниз (начиная с политики с Order 1).

Первая политика GPP (с настройками “Delete all member users” и “Delete all member groups” как описано выше), удаляет всех пользователей/группы из группы локальных администраторов и добавляет указанную доменную группу. Затем применится дополнительная политика для конкретного компьютера и добавит в группу вашего пользователя. Если нужно изменить порядок применения членства в группе Администраторы, воспользуйтесь кнопками вверху консоли редактора GPO.

Управление локальными администраторами через Restricted Groups

Политика групп с ограниченным доступом (Restricted Groups) также позволяет добавить доменные группы/пользователей в локальные группы безопасности на компьютерах. Это более старый способ предоставления прав локального администратора и сейчас используется реже (способ менее гибкий, чем способ с Group Policy Preferences).

1. Перейдите в режим редактирования политики;
2. Разверните секцию Computer Configuration -> Policies -> Security Settings -> Restrictred Groups (Конфигурация компьютера -> Политики -> Параметры безопасности -> Ограниченные группы);
3. В контекстном меню выберите Add Group;
4. В открывшемся окне укажите Administrators -> Ok;
5. В секции “Members of this group” нажмите Add и укажите группу, которую вы хотите добавить в локальные админы;
6. Сохраните изменения, примените политику на компьютеры пользователей и проверьте локальную групп Administrators. В ней должна остаться только указанная в политике группа.

   Данная политика всегда (!) удаляет всех имеющихся членов в группе локальных администраторов (добавленных вручную, другими политиками или скриптами).

Если вам нужно оставить текущий список группы Administrators и добавить в нее дополнительную группу нужно:

1. Создать новый элемент в Restricted Groups и указать в качестве имени группу безопасности AD, которую вы хотите добавить в локальные админы;
2. Затем в разделе This group is a member of нужно добавить группу Administrators;
3. Обновите настройки GPO на клиенте и убедитесь, что ваша группа была добавлена в локальную группу Administrator. При этом текущие принципалы в локальной группе остаются неторонутыми (не удаляются из группы).

В конце статьи оставлю базовые рекомендации по управлению правами администраторов на компьютерах пользователей AD:

В классических рекомендациях по безопасности Microsoft рекомендуется использовать следующие группы для разделения полномочиями администраторов в домене:

• Domain Admins – администраторы домена, используются только на контроллерах домена;

  С точки зрения безопасности привилегированных аккаунтов администраторов не рекомендуется выполнять повседневные задачи администрирования рабочих станций и серверов под учетной записью с правами администратора домена. Такие учётные записи нужно использовать только для задач администрирования AD (добавление новых контроллеров домена, управление репликацией, модификация схемы и т.д.). Большинство задач управления пользователями, компьютерами и политиками в домене можно делегировать для обычных учетных записей администраторов. Не используйте аккаунты из группы Domain Admins для входа на любые рабочие станции и сервера хроме контроллеров домена.

• Server Admins – группа для управления на рядовыми Windows Server домена. Не должна состоять в группе Domain Admins и не должна включаться в группу локальных администраторов на рабочих станциях;
• Workstation Admins – группа только для администрирования компьютеров. Не должна входить или содержать группы Domain Admins и Server Admins;
• Domain Users – обычные учетные записи пользователей для выполнения типовых офисных операций. Не должны иметь прав администратора на серверах или рабочих станциях;
• Не рекомендуется добавлять в администраторы индивидуальные аккаунты пользователей, лучше использовать доменные группы безопасности. В этом случае, чтобы предоставить права администраторов очередному сотруднику тех. поддержки, вам достаточно добавить его в доменную группу (не придется редактировать GPO).

Рассмотрим два простых способа предоставления учетной записи прав локального администратора.

После того, как вы создали учетную запись на сервере Windows Server, часто возникает вопрос, как добавить пользователя в группу локальных администраторов?

В этом статье мы покажем, как добавить пользователя в локальные админы на примере операционной системы Windows Server 2012 R2. Вся информация применима к любым другим поддерживаемым операционным системам Windows. Естественно, для выполнения этих операций учетная запись, выполняющая данные изменения должна обладать административными полномочиями.

Содержание:

• Добавление в группу администраторов при помощи консоли Сomputer Management
• Добавление пользователя в администраторы с помощью команды net user

Добавление в группу администраторов при помощи консоли Сomputer Management

1. Нажмите кнопки Win + X, чтобы открыть консоль управления компьютером — «Сomputer Management»
2. В списке с левой стороны разверните секцию Computer Management -> System Tools -> Local Users and Groups и выберите пункт Groups.
3. Щелкните правой кнопкой мыши по группе Administrators , выберите пункт Add to Group , а затем нажмите кнопку Add.
4. В диалоговом окне «Select Users» в поле «Enter the object names to select» введите имя учетной записи пользователя или группы, которую вы хотите добавить в группу Administrators и нажмите OK.
5. Если в группу локальных администраторов нужно добавить учетную запись другого компьютера, выберите «Object Types», установите флажок «Computers» и нажмите «ОК». В поле «Enter the object names to select» и укажите имя компьютера.

Добавление пользователя в администраторы с помощью команды net user

Войдите в операционную систему Windows под учетной записью, обладающей правами администратора и запустите командную строку с повышенными привилегиями.

Для того, чтобы вывести список всех локальных учетных записей пользователей в системе введите команду

net user

Как вы видите, в системе имеется 6 учетных записей.

Чтобы добавить учетную запись пользователя root в группу локальных администраторов, выполните следующую команду и нажмите Enter:

net localgroup administrators root /add

В русской версии Windows локальная группа администраторов называется по-другому, поэтому если предыдущая команда вернула ошибку «Указанная локальная группа не существует», воспользуйтесь другой командной:

net localgroup "Администраторы" root /add

Если нужно добавить в администраторы системы учетную запись пользователя домена Active Directory, формат команды будет такой:

net localgroup administrators yourdomain\root /add

Проверить состав группы локальных администраторов можно с помощью команды:

Net localgroup administrators

Как вы видите, учетная запись пользователя root теперь является администратором сервера.

Содержание

• Способ 1: Приложение «Параметры»
• Способ 2: Оснастка управление пользователями
• Способ 3: Командная строка
• Способ 4: Активация скрытого Администратора
• Способ 5: Специальные утилиты
• Вопросы и ответы

Создать учетную запись администратора может только тот пользователь, который уже имеет администраторские права в системе. Если таковые отсутствуют, для создания администратора придется использовать обходные решения, о которых будет сказано ниже.

Способ 1: Приложение «Параметры»

Наиболее очевидным способом создания администратора в Windows 10 является использование соответствующего инструмента в приложении «Параметры».

1. Откройте приложение «Параметры», перейдите в раздел в «Учетные записи» → «Семья и другие пользователи» и нажмите в блоке «Другие пользователи» ссылку «Добавить пользователя для этого компьютера».



2. Откроется окошко создания учетной записи, в котором будет предложено ввести данные для входа в учетную запись Microsoft . Если нужно создать локального администратора, нажмите ссылку «У меня нет данных для входа этого человека».



3. Подтвердите добавление пользователя без учетной записи Microsoft нажатием в следующем окне указанной ссылки.



4. Присвойте локальному пользователю имя, пароль, ответьте на контрольные вопросы и нажмите кнопку «Далее».



5. В результате в разделе «Семья и другие пользователи» появятся новая учетная запись. Кликните по ней, нажмите кнопку «Изменить тип учетной записи».



6. Выберите из выпадающего списка тип учетной записи «Администратор» и сохраните настройки.

Способ 2: Оснастка управление пользователями

Создать администратора в Windows 10 можно также с помощью встроенной оснастки управление пользователями.

1. Откройте оснастку «Локальные пользователи и группы», для чего выполните команду lusrmgr.msc в диалоговом окошке, вызванным нажатием комбинации клавиш Win + R.



2. Кликните правой кнопкой мыши в средней колонке оснастки и выберите опцию «Новый пользователь».



3. Введите данные нового пользователя: имя и пароль (этого будет достаточно), также снимите флажок с чекбокса «Требовать смены пароля при следующем входе в систему», после чего нажмите кнопку «Создать». Содержимое полей окошка будет автоматически очищено, после чего его можно будет закрыть.



4. Откройте свойства созданной учетной записи из контекстного меню или двойным по ней кликом. Переключитесь на вкладку «Членство в группах» и нажмите кнопку «Добавить».



5. В открывшемся окошке выбора группы введите в поле имен выбираемых объектов «Администраторы» и нажмите «OK».



6. Сохраните настройки.

Способ 3: Командная строка

Еще одним вариантом создания администратора Windows 10 является использование классической «Командной строки». Процедура состоит из двух частей: создание пользователя и перемещение его в группу администраторов.

1. Откройте «Командную строку» с повышенными привилегиями из поиска Windows или другим известным способом.



2. Введите и выполните две следующих команды:
   • net user UserName Pass /add, где UserName – имя пользователя, а Pass – это пароль.
   • net localgroup "Администраторы" UserName /add, где UserName – имя пользователя.

   

В результате выполнения этих двух команд в системе появится новый пользователь, состоящий в группе «Администраторы» и в группе «Пользователи».

Способ 4: Активация скрытого Администратора

Пользователи, уже обладающие администраторскими правами, могут активировать в Windows 10 встроенную учетную запись Администратора через «Командную строку» либо «PowerShell».

1. Откройте ту или иную консоль от имени администратора из контекстного меню кнопки «Пуск».



2. Выполните команду net user Администратор /active:yes.



3. Выйдите из системы и войдите в нее с уже активированной учетной записью.

Способ 5: Специальные утилиты

Если права администратора отсутствуют изначально, для создания администратора в Windows 10 придется действовать в обход. Создать пользователя с администраторскими правами можно с помощью утилиты OO User Manager, входящей в состав спасательного диска WinPE 10-8 Sergei Strelec.

Скачать WinPE 10-8 Sergei Strelec с официального сайта

В настоящее время главная страница сайта разработчика отключена, ресурсы для загрузки инструмента можно найти на странице печати по ссылке-кнопке выше либо скачать диск из свободных источников в интернете.

1. Скачав ISO-образ спасательного диска, запишите его на флешку с помощью Rufus или аналогичной программы.

Подробнее:
Как пользоваться Rufus
Программы для создания загрузочной флешки

2. Когда загрузится рабочий стол, выберите в меню «Пуск» пункт «Программы WinPE » → « Сброс паролей» → «OO User Manager».



3. Нажмите «OK» в окошке с сообщением о создании бэкапа пользовательской базы данных.



4. В главном окне программы нажмите в левой колонке «Создать» и укажите имя и пароль для создаваемого администратора. Нажмите кнопку «Создать».



5. Появится предложение добавить созданного пользователя в группу. Нажмите «OK».



6. Нажмите «OK» в диалоговом окошке с предупреждением о невозможности изменения пароля.



7. После этого созданный пользователь станет доступным в списке других учетных записей. Кликните по нему правой кнопкой мыши и выберите из контекстного меню опцию «Свойства».



8. Переключитесь в открывшемся окошке на вкладку «Членство в группах» и нажмите «Добавить».



9. Выделите в появившемся списке группу «Administrators» и нажмите кнопку добавления группы, чтобы она оказалась в нижнем поле. Нажмите «Добавить».



10. Сохраните результаты нажатием «Применить» и «OK».

Готово, можно загружать компьютер в обычном режиме. В результате на экране входа в систему должен появиться новый пользователь с администраторскими правами.

Еще статьи по данной теме:

Помогла ли Вам статья?

02.01.2018

Просмотров: 10523

После установки операционной системы Windows 10 следует создание первого пользователя. По умолчанию этот первый пользователь получает права Администратора. Однако все последующие создаваемые профили не имеют прав Администратора. Поэтому, предлагаем рассмотреть четыре основных способа, как получить права Администратора для этих «второстепенных».

Читайте также: Как зайти под администратором в Windows 10?

Способ первый – использование Параметров Windows 10

В разделе «Параметры» Windows 10 есть раздел, предназначенный для управления учетными записями пользователя. С помощью настроек данного раздела можно предоставить права Администратора для определенного пользователя. Сделать это можно следующим способом:

• Жмём «Пуск», «Параметры», «Учетные записи».

• Откроется новый раздел. В меню слева выбираем «Семья и другие люди». Выбираем нужную учетную запись. Кликаем «Изменить тип учетной записи».

• В следующем окне нужно из выпадающего меню выбрать тип записи «Администратор».

• Теперь выбранный пользователь будет обладать правами Администратора.

Способ второй – использование командной строки

Для уверенных пользователей ПК, которые умеют обращаться с консолью, есть способ предоставления прав Администратора через командную строку. Для этого нужно выполнить следующее:

• Запускаем командную строку с правами Администратора.
• Прописываем команду «net users». Она отобразит все учетные записи, которые имеются на данном ПК. Запоминаем или записываем точное название учетной записи, которой вы хотите предоставить права админа.
• Вводим команду «net localgroup Администраторы имя_пользователя /add» и нажимаем «Enter». Это команда, которая добавляет учетную запись пользователя в список пользователей, имеющих права Администратора.
• Вводим команду «net localgroup Пользователи имя_пользователя /delete» и нажимаем «Enter». Эта команда удаляет запись пользователя из списка обычных юзеров.

ВАЖНО! Если в вашей системе имя «Администратор» написано на английском, то и в командной строке его нужно писать латынью.

Способ третий – использование Панели управления

С помощью Панели управления также можно предоставить права Администратора для определенной учетной записи. Для этого стоит выполнить следующее:

• Жмём «Пуск», «Панель управления». Выставляем режим просмотра «Мелкие значки» и выбираем «Учетные записи пользователей».

• Выбираем «Управление другой учетной записью».

• Выбираем пользователя, права которого нужно изменить и кликаем «Изменение типа учетной записи».
• Ставим отметку «Администратор» и жмём на кнопку «Изменение типа учетной записи».

• Теперь, после перезагрузки системы, учетная запись будет наделена правами Администратора.

Способ четвертый – использование Локальные группы и пользователи

Последний способ, как предоставить определенной учетной записи права Администратора, это использовать встроенное средство «Локальные пользователи и группы».

• Кликаем «Win+R» и вводим «lusrmgr.msc».

• Откроется небольшое окно. Выбираем папку «Пользователи».
• Дважды кликаем по пользователю, которого требуется сделать администратором.

• Вновь откроется небольшое окно. Переходим во вкладку «Членство в группах». Кликаем «Добавить».

• В поле «Имя объектов» вводим «Администраторы» и жмём «ОК».

• В списке групп выбираем «Пользователи» и нажимаем «Удалить».
• Кликаем «Ок».

После перезагрузки системы, пользователь, который был добавлен в группу «Администраторы», будет иметь соответствующие права в Windows 10.