Etki Alanı Kullanıcılarını Windows'ta Yerel Yöneticiler Grubuna Ekleme

Etki alanı bilgisayarlarında teknik destek personeline, Yardım Masası ekibine, belirli kullanıcılara ve diğer ayrıcalıklı hesaplara yerel yönetici izinleri vermek için, gerekli Active Directory kullanıcılarını veya gruplarını şu adresteki yerel Yöneticiler grubuna eklemelisiniz: sunucular veya iş istasyonları. Bu yazıda, yerel Yöneticiler grubunun üyelerini etki alanı bilgisayarlarında manuel olarak ve GPO aracılığıyla nasıl yöneteceğinizi göstereceğiz.

Yerel Yöneticiler Grubuna Manuel Olarak Kullanıcı Ekleme

Bir kullanıcı veya grup için belirli bir bilgisayarda yerel yönetici hakları vermenin en kolay yolu, grafiksel Yerel Kullanıcılar ve Gruplar ek bileşenini kullanarak bu bilgisayarı yerel Yöneticiler grubuna eklemektir (

lusrmgr.msc

).

Bir bilgisayarı bir AD etki alanına eklediğinizde, Domain Admins grubu otomatik olarak bilgisayarın yerel Administrators grubuna ve Domain User grubuna eklenir yerel Kullanıcılar grubuna eklenir.

Ekle düğmesini tıklayın ve yerel yönetici hakları vermek istediğiniz kullanıcı, grup, bilgisayar veya hizmet hesabının (gMSA) adını belirtin. Konum düğmesiyle, etki alanındaki veya yerel bilgisayardaki sorumluları arama arasında geçiş yapabilirsiniz.

Komut istemiyle yerel bilgisayar yöneticisi izinlerine sahip kullanıcıların bir listesini de görüntüleyebilirsiniz:

net localgroup administrators

Yerel bir gruptaki kullanıcıların listesini almak için aşağıdaki PowerShell komutunu kullanabilirsiniz (yerel kullanıcıları ve grupları yönetmek için yerleşik LocalAccounts modülünü kullanarak):

Get-LocalGroupMember administrators

Bu komut, yönetici izinleri verilen nesne sınıfını (ObjectClass=Kullanıcı, Grup veya Bilgisayar) ve hesap veya grubun kaynağını (ActiveDirectory, Azure AD, Microsoft veya Yerel) gösterir.

Yerel yöneticilere bir etki alanı grubu munWksAdmins (veya kullanıcı) eklemek için şu komutu çalıştırın:

net localgroup administrators /add munWksAdmins /domain

PowerShell'i kullanarak yöneticilere aşağıdaki gibi bir kullanıcı ekleyebilirsiniz:

Add-LocalGroupMember -Group Administrators -Member ('a-d\j.smith', 'a-d\munWksAdmins','wks1122\user1') -Verbose

Bu örnekte, bilgisayar yöneticilerine a-d etki alanından bir kullanıcı ve gruplar ile yerel bir wks1122\user1 kullanıcısı ekledik.

Yöneticiler grubuna aynı anda birden çok bilgisayarda kullanıcı ekleyebilirsiniz. Bu durumda, bir ağ üzerinden uzak bilgisayarlara erişmek için PowerShell Remoting'den Invoke-Command cmdlet'ini kullanabilirsiniz:

$WKSs = @("PC001","PC002","PC003")
Invoke-Command -ComputerName $WKSs -ScriptBlock {Add-LocalGroupMember -Group Administrators -Member a-d\munWksAdmins'}

Bir Active Directory etki alanı ortamında, etki alanı bilgisayarlarında yerel yönetici hakları vermek için Grup İlkesi kullanmak daha iyidir. Bu, her bilgisayarda yerel Yöneticiler grubuna manuel olarak kullanıcı eklemekten çok daha kolay, kullanışlı ve güvenlidir. Etki alanı bilgisayarlarında Yöneticiler grubunu yönetmek için iki Grup İlkesi seçeneğini kullanabilirsiniz:

• Grup İlkesi Tercihleri ile yerel grup üyeliğini yönetin;

• Kısıtlı Gruplar GPO özelliğini kullanarak kullanıcıları yerel gruplara ekleme.

Grup İlkesi Tercihleri Yoluyla Yerel Yöneticilere Etki Alanı Kullanıcıları Nasıl Eklenir?

Grup İlkesi Tercihleri (GPP), bir GPO aracılığıyla etki alanı bilgisayarlarında yerel yönetici ayrıcalıkları vermenin en esnek ve uygun yolunu sağlar.

Görevinizin belirli bir Active Directory OU'daki (Kuruluş Birimi) bilgisayarlarda bir Yardım Masası ekip grubuna yerel yönetici ayrıcalıkları vermek olduğunu varsayalım. PowerShell'i kullanarak etki alanınızda yeni bir güvenlik grubu oluşturun ve Yardım Masası ekip hesaplarını buna ekleyin:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=com' -GroupScope Global -PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

Etki alanı Grup İlkesi Yönetim konsolunu açın (

GPMC.msc

), yeni bir ilke (GPO) AddLocaAdmins oluşturun ve bunu bilgisayarları içeren kuruluş birimine bağlayın (benim örneğimde, 'OU=Computers,OU=Münih,OU=DE,DC=a-d,DC =com').

1. Daha önce oluşturduğunuz AddLocaAdmins GPO'yu düzenleyin;

2. Aşağıdaki GPO bölümüne gidin: Bilgisayar Yapılandırması -> Tercihler -> Kontrol Paneli Ayarları -> Yerel Kullanıcılar ve Gruplar;

3. Yeni bir kural ekleyin (Yeni -> Yerel Grup);

   

4. Eylem alanında Güncelle'yi seçin (bu önemli bir seçenektir!);

5. Grup Adı açılır listesinde Yöneticiler (Yerleşik)'i seçin. Bu grup bilgisayarda yeniden adlandırılmış olsa bile, ayarlar tarafından yerel Yöneticiler grubuna uygulanacaktır. onun SID'si (

   S-1-5-32-544

   );

6. Ekle düğmesini tıklayın ve yerel Yöneticiler grubuna eklemek istediğiniz grupları seçin (bizim durumumuzda bu munWKSAdmins);

   El ile eklenen tüm kullanıcıları ve grupları tüm bilgisayarlardaki yerel Yöneticilerden kaldırabilirsiniz. "Tüm üye kullanıcıları sil " ve "Tüm üye grupları sil " seçeneklerini işaretleyin. Çoğu durumda, etki alanı bilgisayarlarınızda yalnızca onaylanan etki alanı gruplarının yönetici izinlerine sahip olacağını garanti ettiğiniz için mantıklıdır. Yöneticiler grubuna "Yerel kullanıcılar ve gruplar " ek bileşenini kullanarak manuel olarak bir kullanıcı eklerseniz, politika bir sonraki kez uygulandığında otomatik olarak kaldırılacaktır.

   

7. İlkeyi kaydedin ve istemci iş istasyonlarına uygulanmasını bekleyin. Grup İlkesi ayarlarını hemen uygulamak için bu komutu çalıştırın

   gpupdate /force

   bir kullanıcının bilgisayarında;

8. Aç

   lusrmgr.msc

   herhangi bir etki alanı bilgisayarında ek bileşen ve yerel Yöneticiler grubu üyelerini kontrol edin. Bu gruba yalnızca munWKSAdmins grubu eklenmelidir, diğer kullanıcılar ve gruplar kaldırılacaktır (yerleşik Windows Yönetici hesabı hariç).

GPO ile Belirli Bir Bilgisayarda Yerel Yöneticiler Grubuna Tek Kullanıcı Ekleme

Bazen tek bir kullanıcıya belirli bir bilgisayarda yönetici ayrıcalıkları vermeniz gerekebilir. Örneğin, sürücüleri test etmek, hata ayıklamak veya bilgisayarlarına yüklemek için zaman zaman yükseltilmiş ayrıcalıklara ihtiyaç duyan birkaç geliştiriciniz var. Bunları tüm etki alanı bilgisayarlarında ayrıcalıklara sahip iş istasyonu yöneticileri grubuna eklemek mantıklı değildir.

Belirli bir bilgisayarda yerel yönetici izni vermek için GPO WMI filtrelerini veya Öğe Düzeyinde Hedefleme'yi kullanabilirsiniz.

Daha önce oluşturulan AddLocalAdmins politikasının GPO tercih bölümünde (Bilgisayar Yapılandırması -> Tercihler -> Denetim Masası Ayarları -> Yerel Kullanıcılar ve Gruplar) yeni bir giriş oluşturun:

1. İşlem:

   Update

2. Grup Adı:

   Administrators (Built-in)

3. Açıklama: “

   Add amuller to the local administrators on the mun-dev-wsk21 computer

   ”

4. Üyeler: Ekle ->

   amuller 

   

5. Ortak -> Hedefleme sekmesinde şu kuralı belirtin: "

   the NETBIOS computer name is mun—dev-wks24.

   ” Bu, bu Grup İlkesi öğesinin yalnızca burada belirtilen bilgisayara uygulanacağı anlamına gelir.

   

Ayrıca, bilgisayarda grup üyeliğinin uygulanma sırasına dikkat edin (

Order 

GPP sütunu). Yerel grup üyeliği yukarıdan aşağıya doğru uygulanır (en baştan başlayarak).

Order 1

politika).

İlk GPP ilkesi seçeneği ("Tüm üye kullanıcıları sil" ve "Tüm üye grupları sil" ayarları yukarıda açıklandığı gibi) yerel Yöneticiler grubundan tüm kullanıcıları/grupları kaldırır ve belirtilen etki alanı grubunu ekler. Ardından, belirtilen kullanıcıyı yerel yöneticilere ekleyen, bilgisayara özel ek politikalar uygulanır. Yöneticiler grubunuzdaki üyelik sırasını değiştirmek isterseniz, GPO Düzenleyici konsolunuzun üst kısmındaki düğmeleri kullanın.

Kısıtlanmış Gruplar GPO ile Yerel Yöneticileri Yönetme

Kısıtlanmış Gruplar ilkesi, bilgisayarlarda yerel güvenlik grubuna etki alanı gruplarının/kullanıcılarının eklenmesine de izin verir. Bu, yerel yönetici ayrıcalıkları vermenin daha eski bir yöntemidir ve artık daha az kullanılmaktadır (yukarıda açıklanan Grup İlkesi Tercihleri yönteminden daha az esnektir).

1. GPO'nuzu açın;

2. Bilgisayar Yapılandırması -> İlkeler -> Güvenlik Ayarları -> Kısıtlanmış Gruplar bölümünü genişletin;

3. Bağlam menüsünde Grup Ekle'yi seçin;

   

4. Bir sonraki pencerede Yöneticiler yazın ve ardından Tamam'ı tıklayın;

   

5. Bu grubun üyeleri bölümünde Ekle'yi tıklayın ve yerel yöneticilere eklemek istediğiniz grubu belirtin;

   

6. Değişiklikleri kaydedin, politikayı kullanıcıların bilgisayarlarına uygulayın ve yerel Yöneticiler grubunu kontrol edin. Yalnızca ilkede belirttiğiniz grubu içermelidir.

   Bu Grup İlkesi ayarları her zaman (!) yerel Yöneticiler grubunun tüm mevcut üyelerini kaldırır (bunlar, diğer ilkeler veya betiklerle manuel olarak eklenir).

Yöneticiler grubunun mevcut üyeliğini korumanız ve Kısıtlı Gruplar GPO'yu kullanarak bu gruba ek bir grup (kullanıcı) eklemeniz gerekirse, şunları yapmanız gerekir:

1. Kısıtlı Gruplar'da yeni bir giriş oluşturun ve yerel yöneticilere eklemek istediğiniz AD güvenlik grubunu (!!!) seçin;

   

2. Ardından Yöneticiler'i Bu grubun bir üyesidir bölümüne ekleyin;

   

3. İstemcideki GPO ayarlarını güncelleyin ve etki alanı grubunuzun yerel Yöneticiler grubuna eklendiğinden emin olun. Bu durumda, yerel gruptaki mevcut ilkelere dokunulmaz (gruptan çıkarılmaz).

Yazının sonunda Active Directory bilgisayarları ve sunucularında yönetici izinlerini yönetmek için bazı öneriler bırakacağım.

Microsoft'un klasik güvenlik en iyi uygulamaları, bir AD etki alanındaki yönetici izinlerini ayırmak için aşağıdaki grupların kullanılmasını önerir:

1. Alan Adı Yöneticileri yalnızca etki alanı denetleyicilerinde kullanılır;

   Ayrıcalıklı yönetici hesapları için güvenlik açısından, Domain Admin ayrıcalıklarına sahip bir hesap altında iş istasyonlarında ve sunucularda günlük yönetim görevlerinin gerçekleştirilmesi önerilmez. Bu hesaplar yalnızca AD yönetimi görevleri (yeni alan denetleyicileri ekleme, çoğaltma yönetimi, Active Directory şema değişikliği vb.) için kullanılmalıdır. Çoğu kullanıcı, bilgisayar veya GPO yönetim görevi, normal yönetici hesaplarına (Etki Alanı Yöneticisi izinleri olmadan) atanmalıdır. Etki alanı denetleyicileri dışındaki herhangi bir iş istasyonunda veya sunucuda oturum açmak için Etki Alanı Yöneticisi hesaplarını kullanmayın.

2. Sunucu Yöneticileri, bir AD alanındaki Windows Server ana bilgisayarlarının yönetilmesine izin veren bir gruptur. İş istasyonlarında Domain Admins grubunun veya yerel Administrators grubunun üyesi olmamalıdır;

3. İş İstasyonu Yöneticileri, yalnızca iş istasyonlarında yönetim görevlerini gerçekleştirmek için kullanılan bir gruptur. Domain Admins ve Server Admins gruplarına üye olmamalıdır;

4. Alan Kullanıcıları, tipik ofis işlemlerini gerçekleştirmek için kullanılan yaygın kullanıcı hesaplarıdır. Sunucularda veya iş istasyonlarında yönetici ayrıcalıklarına sahip olmamalıdırlar;

5. Bireysel kullanıcı hesaplarının yerel Yöneticiler grubuna eklenmesi önerilmez. Etki alanı güvenlik gruplarını kullanmak daha iyidir. Bu durumda, bir sonraki teknik destek çalışanına yönetici ayrıcalıkları vermek için, onu etki alanı grubuna eklemeniz (GPO'yu düzenlemeye gerek kalmadan) yeterlidir.