Thêm người dùng miền vào nhóm quản trị viên cục bộ trong Windows

Để cấp quyền quản trị viên cục bộ trên máy tính miền cho nhân viên hỗ trợ kỹ thuật, nhóm HelpDesk, một số người dùng nhất định và các tài khoản đặc quyền khác, bạn phải thêm người dùng hoặc nhóm Active Directory cần thiết vào nhóm Quản trị viên cục bộ trên máy chủ hoặc máy trạm. Trong bài viết này, chúng tôi sẽ chỉ cho bạn cách quản lý các thành viên của nhóm Quản trị viên cục bộ trên các máy tính miền theo cách thủ công và thông qua GPO.

Thêm người dùng vào nhóm quản trị viên cục bộ theo cách thủ công

Cách dễ nhất để cấp quyền quản trị viên cục bộ trên một máy tính cụ thể cho một người dùng hoặc nhóm là thêm nó vào nhóm Quản trị viên cục bộ bằng cách sử dụng phần đính vào Nhóm và Người dùng cục bộ đồ họa (

lusrmgr.msc

).

Khi bạn kết nối máy tính với miền AD, nhóm Quản trị viên miền sẽ tự động được thêm vào nhóm Quản trị viên cục bộ của máy tính và nhóm Người dùng miền được thêm vào nhóm Người dùng cục bộ.

Nhấp vào nút Thêm và chỉ định tên của tài khoản người dùng, nhóm, máy tính hoặc dịch vụ (gMSA) mà bạn muốn cấp quyền quản trị viên cục bộ. Với nút Vị trí, bạn có thể chuyển đổi giữa tìm kiếm hiệu trưởng trong miền hoặc trên máy tính cục bộ.

Bạn cũng có thể hiển thị danh sách người dùng có quyền quản trị viên máy tính cục bộ bằng dấu nhắc lệnh:

net localgroup administrators

Bạn có thể sử dụng lệnh PowerShell sau để nhận danh sách người dùng trong một nhóm cục bộ (sử dụng mô-đun LocalAccounts tích hợp để quản lý người dùng và nhóm cục bộ):

Get-LocalGroupMember administrators

Lệnh này hiển thị lớp đối tượng đã được cấp quyền quản trị viên (ObjectClass=Người dùng, Nhóm hoặc Máy tính) và nguồn của tài khoản hoặc nhóm (ActiveDirectory, Azure AD, Microsoft hoặc Cục bộ).

Để thêm nhóm miền munWksAdmins (hoặc người dùng) vào quản trị viên cục bộ, hãy chạy lệnh:

net localgroup administrators /add munWksAdmins /domain

Sử dụng PowerShell, bạn có thể thêm người dùng vào quản trị viên như sau:

Add-LocalGroupMember -Group Administrators -Member ('a-d\j.smith', 'a-d\munWksAdmins','wks1122\user1') -Verbose

Trong ví dụ này, chúng tôi đã thêm một người dùng và các nhóm từ miền a-d và một người dùng cục bộ wks1122\user1 cho quản trị viên máy tính.

Bạn có thể thêm người dùng vào nhóm Quản trị viên trên nhiều máy tính cùng một lúc. Trong trường hợp này, bạn có thể sử dụng lệnh Invoke-Command cmdlet từ PowerShell Remoting để truy cập các máy tính từ xa qua mạng:

$WKSs = @("PC001","PC002","PC003")
Invoke-Command -ComputerName $WKSs -ScriptBlock {Add-LocalGroupMember -Group Administrators -Member a-d\munWksAdmins'}

Trong môi trường miền Active Directory, tốt hơn là sử dụng Chính sách nhóm để cấp quyền quản trị viên cục bộ trên máy tính miền. Điều này dễ dàng hơn, thuận tiện hơn và an toàn hơn nhiều so với việc thêm thủ công người dùng vào nhóm Quản trị viên cục bộ trên mỗi máy tính. Bạn có thể sử dụng hai tùy chọn Chính sách nhóm để quản lý nhóm Quản trị viên trên máy tính miền:

• Quản lý thành viên nhóm cục bộ với Tùy chọn chính sách nhóm;

• Thêm người dùng vào các nhóm cục bộ bằng tính năng GPO Nhóm bị hạn chế.

Làm cách nào để thêm người dùng miền vào quản trị viên cục bộ thông qua tùy chọn chính sách nhóm?

Tùy chọn chính sách nhóm (GPP) cung cấp cách linh hoạt và thuận tiện nhất để cấp đặc quyền quản trị viên cục bộ trên các máy tính miền thông qua GPO.

Giả sử nhiệm vụ của bạn là cấp các đặc quyền của quản trị viên cục bộ trên các máy tính trong một OU Active Directory (Đơn vị tổ chức) cụ thể cho một nhóm nhóm HelpDesk. Tạo một nhóm bảo mật mới trong miền của bạn bằng PowerShell và thêm tài khoản nhóm Helpdesk vào nhóm đó:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=com' -GroupScope Global -PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

Mở bảng điều khiển Quản lý chính sách nhóm miền (

GPMC.msc

), tạo chính sách mới (GPO) AddLocaAdmins và liên kết chính sách đó với OU chứa các máy tính (trong ví dụ của tôi, đó là 'OU=Computers,OU=Munich,OU=DE,DC=a-d,DC =com').

1. Chỉnh sửa GPO AddLocaAdmins mà bạn đã tạo trước đó;

2. Chuyển đến phần GPO sau: Cấu hình máy tính -> Tùy chọn -> Cài đặt bảng điều khiển -> Nhóm và người dùng cục bộ;

3. Thêm quy tắc mới (Mới -> Nhóm cục bộ);

   

4. Chọn Cập nhật trong trường Hành động (đây là một tùy chọn quan trọng!);

5. Chọn Quản trị viên (Tích hợp sẵn) trong danh sách thả xuống Tên nhóm. Ngay cả khi nhóm này đã được đổi tên trên máy tính, cài đặt sẽ được áp dụng cho nhóm Quản trị viên cục bộ bởi SID của nó (

   S-1-5-32-544

   );

6. Nhấp vào nút Thêm và chọn các nhóm bạn muốn thêm vào nhóm Quản trị viên cục bộ (trong trường hợp của chúng tôi, đây là munWKSAdmins);

   Bạn có thể xóa tất cả người dùng và nhóm được thêm thủ công khỏi Quản trị viên cục bộ trên tất cả các máy tính. Chọn tùy chọn “Xóa tất cả người dùng thành viên” và “Xóa tất cả nhóm thành viên”. Trong hầu hết các trường hợp, điều đó là hợp lý vì bạn đảm bảo rằng chỉ những nhóm miền được phê duyệt mới có quyền quản trị viên trên máy tính miền của bạn. Nếu bạn thêm người dùng vào nhóm Quản trị viên theo cách thủ công bằng cách sử dụng phần đính vào “Người dùng và nhóm cục bộ ”, thì người dùng đó sẽ tự động bị xóa vào lần tiếp theo khi chính sách được áp dụng.

   

7. Lưu chính sách và đợi nó được áp dụng cho các máy trạm khách. Để áp dụng cài đặt Chính sách nhóm ngay lập tức, hãy chạy lệnh này

   gpupdate /force

   trên máy tính của người dùng;

8. Mở

   lusrmgr.msc

   đính vào trên bất kỳ máy tính miền nào và kiểm tra các thành viên nhóm Quản trị viên cục bộ. Chỉ nhóm munWKSAdmins mới được thêm vào nhóm này, trong khi những người dùng và nhóm khác sẽ bị xóa (ngoại trừ tài khoản Quản trị viên Windows được tích hợp sẵn).

Thêm một người dùng vào Nhóm quản trị viên cục bộ trên một máy tính cụ thể với GPO

Đôi khi, bạn có thể cần cấp cho một người dùng quyền quản trị viên trên một máy tính cụ thể. Ví dụ: bạn có một số nhà phát triển thỉnh thoảng cần các đặc quyền nâng cao để kiểm tra trình điều khiển, gỡ lỗi hoặc cài đặt chúng trên máy tính của họ. Sẽ không hợp lý khi thêm chúng vào nhóm quản trị viên máy trạm với các đặc quyền trên tất cả các máy tính miền.

Bạn có thể sử dụng bộ lọc GPO WMI hoặc Nhắm mục tiêu cấp mục để cấp quyền quản trị viên cục bộ trên một máy tính cụ thể.

Tạo một mục mới trong phần tùy chọn GPO (Cấu hình máy tính -> Tùy chọn -> Cài đặt bảng điều khiển -> Nhóm và người dùng cục bộ) của chính sách AddLocalAdmins đã tạo trước đó:

1. Hành động:

   Update

2. Tên nhóm:

   Administrators (Built-in)

3. Mô tả: “

   Add amuller to the local administrators on the mun-dev-wsk21 computer

   ”

4. Thành viên: Thêm ->

   amuller 

   

5. Trong tab Chung -> Nhắm mục tiêu, hãy chỉ định quy tắc này: “

   the NETBIOS computer name is mun—dev-wks24.

   ” Điều đó có nghĩa là mục Chính sách nhóm này sẽ chỉ được áp dụng cho máy tính được chỉ định tại đây.

   

Ngoài ra, hãy lưu ý thứ tự áp dụng tư cách thành viên nhóm trên máy tính (các

Order 

cột GPP). Tư cách thành viên nhóm cục bộ được áp dụng từ trên xuống dưới (bắt đầu từ

Order 1

chính sách).

Tùy chọn chính sách GPP đầu tiên (với cài đặt “Xóa tất cả người dùng thành viên ” và “Xóa tất cả nhóm thành viên ” như được mô tả ở trên) sẽ xóa tất cả người dùng/nhóm khỏi nhóm Quản trị viên cục bộ và thêm nhóm miền được chỉ định. Sau đó, các chính sách bổ sung dành riêng cho máy tính sẽ được áp dụng để thêm người dùng đã chỉ định vào quản trị viên cục bộ. Nếu bạn muốn thay đổi thứ tự thành viên trong nhóm Quản trị viên của mình, hãy sử dụng các nút ở trên cùng của bảng điều khiển GPO Editor.

Quản lý quản trị viên cục bộ với các nhóm bị hạn chế GPO

Chính sách Nhóm bị hạn chế cũng cho phép thêm nhóm miền/người dùng vào nhóm bảo mật cục bộ trên máy tính. Đây là phương pháp cũ hơn để cấp đặc quyền quản trị viên cục bộ và hiện ít được sử dụng hơn (kém linh hoạt hơn phương pháp Tùy chọn chính sách nhóm được mô tả ở trên).

1. Mở GPO của bạn;

2. Mở rộng phần Cấu hình máy tính -> Chính sách -> Cài đặt bảo mật -> Nhóm bị hạn chế;

3. Chọn Thêm nhóm trong trình đơn ngữ cảnh;

   

4. Trong cửa sổ tiếp theo, nhập Quản trị viên rồi nhấp vào OK;

   

5. Nhấp vào Thêm trong phần Thành viên của nhóm này và chỉ định nhóm bạn muốn thêm vào quản trị viên cục bộ;

   

6. Lưu các thay đổi, áp dụng chính sách cho máy tính của người dùng và kiểm tra nhóm Quản trị viên cục bộ. Nó chỉ được chứa nhóm mà bạn đã chỉ định trong chính sách.

   Các cài đặt Chính sách nhóm này luôn (!) xóa tất cả các thành viên hiện có của nhóm Quản trị viên cục bộ (được thêm theo cách thủ công bởi các chính sách hoặc tập lệnh khác).

Nếu bạn cần giữ tư cách thành viên hiện tại của nhóm Quản trị viên và thêm một nhóm bổ sung (người dùng) vào nhóm đó bằng GPO Nhóm bị hạn chế, bạn cần phải:

1. Tạo một mục mới trong Nhóm bị hạn chế và chọn nhóm bảo mật AD (!!!) mà bạn muốn thêm vào quản trị viên cục bộ;

   

2. Sau đó, thêm Quản trị viên vào phần Nhóm này là thành viên của;

   

3. Cập nhật cài đặt GPO trên máy khách và đảm bảo rằng nhóm miền của bạn đã được thêm vào nhóm Quản trị viên cục bộ. Trong trường hợp này, các hiệu trưởng hiện tại trong nhóm địa phương không bị ảnh hưởng (không bị xóa khỏi nhóm).

Ở cuối bài viết, tôi sẽ để lại một số đề xuất để quản lý quyền của quản trị viên trên máy tính và máy chủ Active Directory.

Các phương pháp hay nhất về bảo mật cổ điển của Microsoft khuyên bạn nên sử dụng các nhóm sau để phân tách các quyền của quản trị viên trong miền AD:

1. Quản trị viên miền chỉ được sử dụng trên bộ điều khiển miền;

   Từ quan điểm bảo mật đối với tài khoản quản trị viên đặc quyền, không nên thực hiện các tác vụ quản trị hàng ngày trên máy trạm và máy chủ dưới tài khoản có đặc quyền Quản trị viên miền. Các tài khoản này chỉ được sử dụng cho các tác vụ quản lý AD (thêm bộ điều khiển miền mới, quản lý bản sao, sửa đổi lược đồ Active Directory, v.v.). Hầu hết các tác vụ quản lý người dùng, máy tính hoặc GPO phải được ủy quyền cho tài khoản quản trị viên thông thường (không có quyền Quản trị viên miền). Không sử dụng tài khoản Quản trị viên miền để đăng nhập vào bất kỳ máy trạm hoặc máy chủ nào ngoài bộ điều khiển miền.

2. Quản trị viên máy chủ là một nhóm cho phép quản lý máy chủ lưu trữ Windows Server trong miền AD. Không được là thành viên của nhóm Quản trị viên miền hoặc nhóm Quản trị viên cục bộ trên máy trạm;

3. Quản trị viên máy trạm là một nhóm chỉ thực hiện các tác vụ quản trị trên máy trạm. Không được là thành viên của nhóm Quản trị viên miền và Quản trị viên máy chủ;

4. Người dùng miền là tài khoản người dùng thông thường để thực hiện các hoạt động văn phòng điển hình. Họ không được có đặc quyền của quản trị viên trên máy chủ hoặc máy trạm;

5. Không nên thêm tài khoản người dùng cá nhân vào nhóm Quản trị viên cục bộ. Tốt hơn là sử dụng các nhóm bảo mật miền. Trong trường hợp này, để cấp đặc quyền quản trị viên cho nhân viên hỗ trợ kỹ thuật tiếp theo, chỉ cần thêm anh ta vào nhóm miền (không cần chỉnh sửa GPO).