[zero55]

Затащить доменного админа, если его использует техподдержка (видел и такое), довольно легко.
1. вы уже имеете локального администратора
2. специально моделируете "проблему"
3. сотрудник саппорта заходит на ваш комп удаленно, под аккаунтом пользователя не работает, он проверяет под собою. Естественно все работает.

Результат.
1. вы можете запихнуть нужный скрипт ему в автозагрузку или в реестр
2. вы можете получить его хэш.

Вариантов множество.

[nokogerra]

тех поддержка использует другие учетки, доменных админов имеют 2е я и дяденька, пасы меняю каждую неделю) ну это не туда мы поехали, помогайте идеями, что не так с методой group policy preference или с методом restricted group если я создаю политику на свою доменную группу local_admins и соответственно она начинает входить в группу BUILTIN\Администраторы, при этом работала только 1й раз, после изменения состава группы local_admins перестала работать, изменял членство группы вручную, через гуи рестриктед груп, обновлял политики, делал новую политику - нет эффекта.

[nokogerra]

ап. прошу идеи.

[cameron]

ап. прошу идеи. »

а что тут просить то?

через рестриктед групс - грубый метод: если создавать политику на local_admins (моя доменная группа), она будет входить в BUILTIN\Администраторы (на целевых машинах) - работало лишь 1й раз xD, после того как поменял членов группы local_admins (убрал васю, добавил петю) работать перестало, обновлял политики, изменял членство в группе через gui restricted groups, создавал даже новую политику - эффекта 0. »

чудеса да и только.
смоделировать не смогла, как ни пыталась.
идея - разбираться почему у вас это не работает.

[nokogerra]

вот так это выглядит, почему не работает не знаю. в обратном порядке (Builtin\Администраторы входит в local_admins) работает.