Автоматизация назначения прав пользователя
 

Сразу оговорюсь, что имею далёкое представление о механизме назначения прав пользователям, так что не удивлюсь если задача изначально невыполнима...

Необходимо автоматизировать процесс добавления доменного пользователя в группу "Администраторы" на локальном компьютере!

В данный момент имею следующую картину:
Во время установки ОС весь софт, твики и настройки применяются к учетной записи созданной с помощью winnt.sif. После установки приходится выполнять ряд действий:
1. Захожу доменным пользователем, чтобы создался его профиль и сразу завершаю сеанс...
2. Логинюсь доменным админом
3. Включаю в группу "Администраторы" доменного пользователя
4. Копирую первоначальный профиль на профиль доменного пользователя. Несмотря на то, что все настройки стараюсь делать на ранних этапах установки, дабы применялись к дефолтному пользователю, со всеми вытекающими последствиями, ан нет, полного соответствия удаётся достичь только копированием...
5. Захожу доменным пользователем в качестве админа на этом компьютере, установка закончена...

Хотелось бы исключить все эти телодвижения и скажем на T-12 запустить утиль или твик добавляющий пользователя вида DOMEN\User в группу "Администраторы", соответственно первый вход в систему осуществлялся именно им в качестве админа!

С помощью регшота выяснил, что при добавлении пользователя в реестре меняется значение ключа (некий циферно-буквенный шифр):
HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed

Так же изменяются файлы:
C:\WINDOWS\system32\config\SAM
C:\WINDOWS\system32\config\SAM.LOG
Открыть не удалось, сильно защищённые виндовые файлы с паролями...

Хуух, вроде доступно изложил... :)

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed - отвечает не за это, это точно

C:\WINDOWS\system32\config\SAM
C:\WINDOWS\system32\config\SAM.LOG - а это файлы базы реестра (сам реестр, можно так сказать)

Сам спросил, сам ответил...
Права локального админа пользователю домена можно дать двумя способами:
1. С помощью ГПО - Группы с ограниченным доступом (Restricted Groups) :
Просто добавить группу "Администраторы" или любую другую локальную группу, а в "Члены этой группы" добавить тех пользователей (или группу) которые необходимы!

2. С помощью команды: