2008 R2 - [решено] Предоставить права пользователя в АД для установки софта

paranoya · Отправлено: **09:42, 28-11-2017** | #2

Завести специальную учетку на установку софта, в домене оставить её как "Пользователь домена".
Создать доменную групповую политику и прилинковать её к тому OU, в котором находятся компьютеры на которые необходимо разрешить ставить софт.
В созданной политике, в разделе "Конфигурация Компьютера\Конфигурация windows\Параметры безопасности\Группы с ограниченным доступом" создать параметр с именем группы "Администраторы", в эту группу включить BUILTIN\Адинистратор (чтобы у встроенного админа не пропал доступ), включить созданную в пункте №1 учетку и группу "Администраторы домена" (для лучшей безопасности этого не стоит делать, но если администрирование всего и вся ведётся от имени админа домена, то стоит включить эту группу)
Перезагрузить рабочие компьютеры или ввести в строке запуска: gpupdate /force /boot.
Зайти под учёткой из пункта №1 и попробовать установить под ней программу.
Если всё сделано правильно, то должно заработать.

Группа "Опытные пользователи" в Win7 не имеет никаких расширенных полномочий и просто нужна для совместимости со старыми приложениями.

michman2008 · Отправлено: **09:43, 28-11-2017** | #3

С помощью групповой политики добавил учетную запись АД в локальную группу опытных пользователей на всех машинах но данный пользователь все равно не может произвести установку софта, можете объяснить по какой причине?

paranoya · Отправлено: **09:52, 28-11-2017** | #4

michman2008, надо в "Администраторы" добавлять.

michman2008 · Отправлено: **09:56, 28-11-2017** | #5

Такой вопрос, если я данного чела добавлю в локальную группу администраторов он будем админом на любом компе выходит ну имеется ввиду локально?в АД же он не будет иметь привилегий?

А можно ли как то без админской учетки ему дать права на установку софта или тут без вариантов?

Т.е. у меня без вариантов на этот счет только добавлять АД учетку в группу локальных админов выходит, по другому с более меньшими правами ничего нет?

paranoya · Отправлено: **10:17, 28-11-2017** | #6

michman2008, да, эта учетная запись будет локальным админом на компьютерах, а в домене будет обычным пользователем. Другие варианты я тебе на sysadmins.ru написал.

michman2008 · Отправлено: **14:12, 28-11-2017** | #7

всем спасибо, тему можно закрывать, добавил АД учетку в локальную группу Администраторов через групповую политику с нацеливанием на группу компьютеров в одном подразделении.