[решено] Администратор домена - проблема на клиентских пк

[Josef_123]

Вчера ввел машины в домен, при смене пользователя на машине на учетку админа домена все ок заходил. Сегодня прихожу и уже нельзя войти, но! она работает, то есть при изменении настроек локально на компе просит все равно мой пароль я ввожу и все ок, а войти отдельно не могу, групповые политики сбрасывал на дефолт. Вчера перед уходом всем дал локального админа, может из за такого быть?

[Iska]

Josef_123, Вы не могли бы выражаться яснее и точнее?

[Josef_123]

Если точнее, то на машинах в сети, когда до них иду пешком, не могу зайти под учеткой админ домена, говорит неправильный пароль, но когда захожу под пользователем домена и настраиваю какую нибудь штуку, просит пароль админа домена, я ввожу и все ок

под второй учеткой админа домена тоже нельзя на компы зайти, тоже пишет неправильное имя или пароль

[paranoya]

Самый первый вариант приходящий на ум - групповая политика запрещающая локальный вход админа на комп. Второй вариант - у админа прописан список рабочих станций, на которые он может входить локально.

[Iska]

Ясно.

Какая ОС на клиенте-рабочей станции? Что наблюдается в логах на рабочей станции и сервере при попытке прямого входа под администратором на этой рабочей станции?

[Josef_123]

"Самый первый вариант приходящий на ум - групповая политика запрещающая локальный вход админа на комп. Второй вариант - у админа прописан список рабочих станций, на которые он может входить локально."

Политика отключена
Не прописан

ОС разные и 7 и 10 максимальные, где посмотреть эти логи?

[cameron]

это в ней изменить нельзя »
точно? ;)

по проблеме:
при логоне на рабочую станцию пишите свою "главную учйтку админа домена" через domain\administrator

P.S. никогда не используйте эту УЗ для рядовой работы и локальных логонов на рабочие станции.

[Josef_123]

cameron, нточно? »
Привет) ага) у меня ошибка появляется типа ты зачем мне понизить права хочешь)при логоне на рабочую станцию пишите свою "главную учйтку админа домена" через domain\administrator »
я так и делаю, имеется ввиду когда сижу за ней, но пишет неправильно имя и пароль, почему никогда нельзя использовать?

[Josef_123]

Сделал так.

Создать в AD глобальную группу, с именем LocalAdmins, добавляешь в нее всех пользователей желающих быть локальными админами, далее GPO -> Computer Configuration->Windows Settings-> Security->Restricted Groups. в Restricted Groups создаешь группу Administrators/Администраторы !важно! в зависимости от локализации КЛИЕНТСКОЙ винды добавляешь в нее свою группу LocalAdmins и только потом выставляешь кому она принадлежит(Администраторы) и вуаля, все ее мемберы локальные админы.
P.S. добавь в эту группу и себя, а то она ВЫШИБАЕТ СТАНДАРТНОГО АДМИНА ДОМЕНА из локальных.
P.P.S. т.к. политика применяется к компьютерам линковать ее надо к ou в котором содержаться учетные записи компьютеров, либо лепи ее в Default Domain Policy . Логинишься потом "Администратор@домен"

Я не мог как раз зайти под стандартным админом домена.

Считаю вопрос решенным.