一、简介

  公司大部分主机加入域已有一段时间了,由于某软件没管理员权限不能执行,所以管理员权限一直没撤销,不能完全实现域的管理效果。但起码实现了域用户脱离不了域的控制:http://www.cnblogs.com/sjy000/p/4713389.html

  撤销管理员后,所有用户加入Power Users组,只有主管仍是Administrators组。Power Users组可以正常访问本地所有资源,不能安装软件、修改注册表、修改TCP/IP、修改计算机等。同事修改计算机设置时,向SA申请,SA使用管理员账号登录后修改;安装软件由SA则使用批处理输入程序的完整路径后开始安装,批处理用的是runas命令,让普通用户以管理员的身份执行程序。软件管理方式还可使用域组策略部署。

  另外还有个域组策略脚本执行身份的问题需解决。域组策略脚本是以登录的用户身份执行的,而用户身份只是属于Power Users组,当脚本的命令涉及修改系统设置,就无法生效了。这时还得使用runas命令解决,让原脚本以管理员身份执行。

二、服务器配置

1、域用户撤销本地管理员,禁止本地用户登录

Administrators组成员设为只有域Domain Admins,Power Users与Users组只有Domain Users。

该设置还有额外的效果加成——本地用户无法登录,因为这些用户不再属于这三个本地组了。

2、在客户端执行一次runas,保存管理员的密码

域TEST.COM,管理员账号administrator。

/savecred选项表示执行一次后保存密码;/noprofile选项表示不加载用户的配置文件,不加该选项部分主机找不到路径

runas /savecred /noprofile /user:TEST\administrator calc.exe

3、runas命令指向域组策略旧的脚本,以管理员身份执行

runas /savecred /noprofile /user:TEST\administrator \\192.168.1.100\bat\old.bat

使用runas后,批处理会弹窗运行,进行下美化。

title XX公司系统管理脚本
color 1F echo 配置中,请勿关闭... 命令>%temp%\result.tmp
del %temp%\result.tmp
::隐藏执行结果

4、编写批处理,SA运行、安装软件的工具

输入程序完整路径后执行。

@echo off
color 1F
title Administrator echo.
set /p a=Enter the programme path:
runas /savecred /noprofile /user:TEST\administrator %a%
pause

软件Bat To Exe Converter将批处理转换为exe程序,禁止用户查看命令。

三、客户端测试

1、执行一次runas保存管理员密码

2、尝试修改IP、创建账号、修改系统设置、安装软件

3、尝试旧本地管理员账号登录

4、SA使用批处理帮同事安装软件

本文出自 “运维菜鸟.log” 博客,谢绝转载!

AD域撤销域用户管理员权限方案的更多相关文章

  1. 金蝶K3,域环境中,无本地用户管理员权限的域用户如何设置注册表权限?

    如果该用户是属于Power Users组:只需要给用户添加注册表中的HKEY_LOCAL_MACHINE的SOFTWARE完全控制的权限.(勾选允许父项的继承权限和传播到该对象和所有子对象) 如果该用 ...

  2. WIN8 WIN10系统如何完全获取用户管理员权限

    按住WIN+R 2 计算机配置----Windows设置----安全设置----本地策略----安全选项----用户账户控制:以管理员批准模式运行所有管理员,把启用改为禁止然后重启电脑

  3. AD域-让共享目录只显示用户有权限访问的文件夹

    问题: 在AD域中,我们一般都会用到共享,如果有很多部门,我们可能还会按部门.职位配置权限.比如CSD,IT,PA等,但文件夹一多,用户看着就头大,而且用户没权限访问的文件夹误点击进去还会提示无权限访 ...

  4. Active Directory中获取域管理员权限的攻击方法

    Active Directory中获取域管理员权限的攻击方法         译:by  backlion 0x00 前言 攻击者可以通过多种方式在Active Directory中获得域管理员权限, ...

  5. AUTOIT解决域控普通用户以管理员身份安装软件方法

    windows域管理,本是很好的管理方式,方便的软件分发,权限控制等功能.不过由于我处软件分发总有那么一些电脑没有成功安装,或是新装的电脑安装软件时漏了安装一些软件,而这些软件需要管理员权限安装的,用 ...

  6. vCSA加域&vcenter关联域&设置管理员权限

    vCSA 与 Windows vCenter对比 1.部署起来更简单快捷. 2.vCSA基于Linux授权费用节省. 3.功能在6.0之后达到与Windows vCenter一样的功能,之后可能会反超 ...

  7. 导出当前域内所有用户hash的技术整理

    0x00目标: 导出当前域内所有用户的hash 0x01测试环境: 域控:server2008 r2 杀毒软件:已安装* 域控权限:可使用net use远程登陆,不使用3389 0x02测试方法: ( ...

  8. 使用ADMT和PES实现window AD账户跨域迁移-介绍篇

    使用 ADMT 和 pwdmig 实现 window AD 账户跨域迁移系列: 介绍篇 ADMT 安装 PES 的安装 ADMT:迁移组 ADMT:迁移用户 ADMT:计算机迁移 ADMT:报告生成 ...

  9. Windows Server 2008 R2 配置AD(Active Directory)域控制器

    实施过程: 一.安装Windows Server2008 R2操作系统 (过程略) 二.安装域控制器 1. 修改电脑名称 2.修改电脑DNS 三.配置AD 1.在"服务器管理器"- ...

随机推荐

  1. 强强联合,Testin云测&云层天咨众测学院开课了!

    Testin&云层天咨众测学院开课了! 共享经济时代,测试如何赶上大潮,利用碎片时间给女票或者自己赚点化妆品钱?   2016年12月13日,Testin联手云层天咨带领大家一起推开众测的大门 ...

  2. hibernate中java类的成员变量类型如何映射到SQL中的数据类型变化

    hibernate映射文件??.hbm.xml配置映射元素详解--Hibernate映射类型 在从Hibernate的java的成员类型映射到SQL中的数据类型,其内映射方式它满足,SQL可以自己调制 ...

  3. 数据结构算法集---C++语言实现

    //数据结构算法集---C++语言实现 //各种类都使用模版设计,可以对各种数据类型操作(整形,字符,浮点) /////////////////////////// // // // 堆栈数据结构 s ...

  4. java 分解质因数 基础增强

    题目:将一个正整数分解质因数.例如:输入90,打印出90=2*3*3*5. 为了熟悉加强基础练习,搞搞经典小demo..话不多说,直接贴代码,看注释.package www.test;import j ...

  5. python进阶学习(四)

    在使用多线程之前,我们首页要理解什么是进程和线程. 什么是进程? 计算机程序只不过是磁盘中可执行的,二进制(或其它类型)的数据.它们只有在被读取到内存中,被操作系统调用的时候才开始它们的生命期.进程( ...

  6. left join 后的条件 位置不同,查询的结果不同

    表t_a id name 1 a1 2 a2 表t_b a1_id name num 2 b2 1 3 b3 100 left join 后加查询条件 select a.* from t_a a le ...

  7. 10Linux_firewalld-Linux就该这么学

    firewalld: runtime:当前生效,重启后失效(默认) permanent:当前不生效,重启后永久生效. A:重启,B:执行firewall-cmd --reload 数据链路层:ipta ...

  8. oracle表查询优化

    ORACLE有个高速缓冲的概念,这个高速缓冲就是存放执行过的SQL语句,那oracle在执行sql语句的时候要做很多工作,例如解析sql语句,估算索引利用率,绑定变量,读取数据块等等这些操作.假设高速 ...

  9. spring学习总结(一)_Ioc基础(下)

    本篇文章继续上篇文章讲解Ioc基础,这篇文章主要介绍零配置实现ioc,现在相信大家项目中也基本都是没有了xml配置文件.废话不多说.一起学习 代码示例 BookDao.java package com ...

  10. Chrome视频解析插件

    我们在观看一些平台的视频资源时,比如优酷视频.腾讯视频.爱奇艺等等,通常都会需要VIP资格才能观看到更稀缺的视频,如何通过破解来实现免VIP观看呢?下面我们来看一看怎么用Chrome插件实现. 视频解 ...