Добавление групп через GPP
 

DC на Win 2008R2, нужно добавить группу доменных пользователей в группу локальных админов на машины, сложенные в контейнере "Win7", gpo: параметры комптютера-настройка-параметры панели управления-локальные пользователи и группы, update локальной группы "Администраторы", добавил группу с нужными доменными пользователями, обновил политики, группа на эти машины добавилась в "Администраторы", но прав нет, сделал также с отдельным пользователем - добавился и права есть. Прошу идеи.

Какой тип у группы, локальный/глобальный/универсальный ?

после изменения членства в группе требуется logoff-logon

группа глобальная, был не просто логоф-логон, был ребут.

я только сейчас поняла что вы делалаете.
это делается через Restricted Groups (Группы с ограниченным доступом)

через рестриктед групс - грубый метод: если создавать политику на local_admins (моя доменная группа), она будет входить в BUILTIN\Администраторы (на целевых машинах) - работало лишь 1й раз xD, после того как поменял членов группы local_admins (убрал васю, добавил петю) работать перестало, обновлял политики, изменял членство в группе через gui restricted groups, создавал даже новую политику - эффекта 0. Если делать наоборот, добавлять в local_admins группу BUILTIN\Администраторы - работает, но затирает всех уже имевшихся локальных админов на этих машинах - так не пойдет. Пользовал скрипт
On Error Resume Next



Set ws = WScript.CreateObject ( "WScript.Shell" )

compname = ws.ExpandEnvironmentStrings ( "%COMPUTERNAME%" )



Set adGrp = GetObject ( "WinNT://" & compname & "/Администраторы,group" )

Set adGrp = GetObject ( "WinNT://" & compname & "/Administrators,group" )



adGrp.Add ( "WinNT://ИМЯ ДОМЕНА/domain admins,group" )

adGrp.Add ( "WinNT://ИМЯ ДОМЕНА/Имя группы,group" )
отрабатывает только запуске "от имени администратора", или отключенном uac, отключать его не хочу, runas для повышенных прав не вариант - все равно нужно вводить пароль, стороннее по для запуска с повышенными правами тоже не вариант.

В общем же через group policy preferences работает, почему во только не видит пользователей добавленной группы, может есть какой-то нюанс с иерархичностью в группах win7?

Добавьте локальную группу "Пользователи"

Куда? Зачем? Ответ неясен. 10 машин, для каждой определен свой пользователь, нужно чтобы лишь 2е из этих пользоватлей были локальными админами на всех этих машинах.

Как раз сегодня закончил статью по Restricted Groups ()линк
Посмотрите, может что то подойдет.

В этой теме я уже отписывал что использовал restricted groups и как это работало (как не работало). В вашей статье не понял: каким образом можно "затащить к себе на хост" доменного админа при нахождении группы доменных админов в локальной группе "Администраторы", в win7 невозможно просмотреть состав доменной группы на сколько я знаю (нет доменного администратора по умолчанию типа "admin" каждый пользуется своей учетной записью)

Затащить доменного админа, если его использует техподдержка (видел и такое), довольно легко.
1. вы уже имеете локального администратора
2. специально моделируете "проблему"
3. сотрудник саппорта заходит на ваш комп удаленно, под аккаунтом пользователя не работает, он проверяет под собою. Естественно все работает.

Результат.
1. вы можете запихнуть нужный скрипт ему в автозагрузку или в реестр
2. вы можете получить его хэш.

Вариантов множество.

тех поддержка использует другие учетки, доменных админов имеют 2е я и дяденька, пасы меняю каждую неделю) ну это не туда мы поехали, помогайте идеями, что не так с методой group policy preference или с методом restricted group если я создаю политику на свою доменную группу local_admins и соответственно она начинает входить в группу BUILTIN\Администраторы, при этом работала только 1й раз, после изменения состава группы local_admins перестала работать, изменял членство группы вручную, через гуи рестриктед груп, обновлял политики, делал новую политику - нет эффекта.

ап. прошу идеи.

а что тут просить то?
чудеса да и только.
смоделировать не смогла, как ни пыталась.
идея - разбираться почему у вас это не работает.

вот так это выглядит, почему не работает не знаю. в обратном порядке (Builtin\Администраторы входит в local_admins) работает.