Локальные администраторы в доменных сетях (Важно)
 

Доброго времени суток уважаемые!
Вопрос такой!
Дано:
АД, в ней есть пользователи и группа (типа domain\локальные администраторы)
В эту группу входят пользователи, которым нужен админский доступ на свой комп
GPO в локальные администраторы добавляется группа domain\локальные администраторы, и меняет все значения которые были добавлены ранее (руками или скриптом).
Задача:
Пусть пользователи группы domain\локальные администраторы имеют локальный доступ только до своей тачки, а не могут по SMB ( С$ ) ходить где хотят.
Вопрос:
1. Как это организовать правильно?
2. Есть идея запихивать скриптом+GPO типа
$User = [ADSI]"WinNT://domain/НашЮзерИзТаблицы,user"
$Group = [ADSI]"WinNT://domain.local/Администраторы,group"
$Group.Invoke("Add",$User.PSBase.Path)
Скрипт powershell'овский - Куда его запхать?

GPO LocalAdmins
Computer Configuration
Preferences
Control Panel Settings
Local Users and Groups

New Local Group: Administrators, Update
Members Add: Domain\Vasya
Common
Item-Level Targeting
New Item, Computer Name = Vasya_Comp

Спасибо, что-то похожее на правду, маленько но! New Item, Computer Name = Vasya_Comp, т.е. мне надо будет перечислить все компы и соответствующих пользователей? А из CSV их можно загружать?

Нет, извиняюсь, но этот вариант не подходит

А у вас что, таких людей будет целая толпа? Ну-ну..

Можно поковырять параметр "Доступ к компьютеру из сети" (Конфигурация компьютера - Политики - Параметры безопасности - Локальные политики - Назначение прав пользователей), однако это не самый лучший вариант.

P.S. А вообще интересна изначальная цель подобного решения - возможно реализация выбрана не самым лучшим образом.

Около 100

Вообщем решение есть, Запихать все в csv и powershell скрипт запихать в GPO, работает проблем нет, но как то это не по фэншую чтоли

Пока тему не закрываю, надо бы подумать ещё

Хотя можно в АД учетки в каком - нибудь из доп полей указывать имя компа, чтобы уйти от csv

Не фен-шуй — это раздаривать привилегии. Особенно сотням (!) пользователей. Это где-то даже криминал.
Но лучшего способа задокументированно назначать индивидуальное членство в группах я пока не нашёл.

На нем и остановимся, все программисты, на текущий момент они включены в группу безопасности AD Которая GPO добавляется в Локальные администраторы, а это ещё хуже. Ибо имеют доступ ко всем компам.