การเพิ่มผู้ใช้โดเมนในกลุ่มผู้ดูแลระบบภายในใน Windows

ในการให้สิทธิ์ผู้ดูแลระบบภายในบนคอมพิวเตอร์โดเมนแก่เจ้าหน้าที่ฝ่ายสนับสนุนด้านเทคนิค ทีม HelpDesk ผู้ใช้บางราย และบัญชีพิเศษอื่นๆ คุณต้องเพิ่มผู้ใช้หรือกลุ่ม Active Directory ที่จำเป็นลงในกลุ่ม ผู้ดูแลระบบ ในระบบบน เซิร์ฟเวอร์หรือเวิร์กสเตชัน ในบทความนี้ เราจะแสดงวิธีจัดการสมาชิกของกลุ่มผู้ดูแลระบบภายในบนคอมพิวเตอร์โดเมนด้วยตนเองและผ่าน GPO

เพิ่มผู้ใช้ในกลุ่ม Local Admins ด้วยตนเอง

วิธีที่ง่ายที่สุดในการให้สิทธิ์ผู้ดูแลระบบภายในบนคอมพิวเตอร์เฉพาะสำหรับผู้ใช้หรือกลุ่มคือการเพิ่มลงในกลุ่มผู้ดูแลระบบภายในโดยใช้สแน็ปอิน Local Users และ Groups แบบกราฟิก (

lusrmgr.msc

).

เมื่อคุณรวมคอมพิวเตอร์เข้ากับโดเมน AD กลุ่ม ผู้ดูแลระบบโดเมน จะถูกเพิ่มลงในกลุ่ม ผู้ดูแลระบบ ภายในเครื่องของคอมพิวเตอร์โดยอัตโนมัติ และกลุ่ม ผู้ใช้โดเมน ถูกเพิ่มลงในกลุ่ม ผู้ใช้ ในเครื่อง

คลิกปุ่ม เพิ่ม และระบุชื่อผู้ใช้ กลุ่ม คอมพิวเตอร์ หรือบัญชีบริการ (gMSA) ที่คุณต้องการให้สิทธิ์ผู้ดูแลระบบภายใน ด้วยปุ่มตำแหน่ง คุณสามารถสลับไปมาระหว่างการค้นหาตัวการในโดเมนหรือบนเครื่องคอมพิวเตอร์

คุณยังสามารถแสดงรายชื่อผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบคอมพิวเตอร์เฉพาะที่ด้วยพรอมต์คำสั่ง:

net localgroup administrators

คุณสามารถใช้คำสั่ง PowerShell ต่อไปนี้เพื่อรับรายชื่อผู้ใช้ในกลุ่มโลคัล (โดยใช้โมดูล LocalAccounts ในตัวเพื่อจัดการผู้ใช้และกลุ่มโลคัล):

Get-LocalGroupMember administrators

คำสั่งนี้แสดงคลาสวัตถุที่ได้รับสิทธิ์ของผู้ดูแลระบบ (ObjectClass=User, Group หรือ Computer) และแหล่งที่มาของบัญชีหรือกลุ่ม (ActiveDirectory, Azure AD, Microsoft หรือ Local)

หากต้องการเพิ่มกลุ่มโดเมน munWksAdmins (หรือผู้ใช้) ให้กับผู้ดูแลระบบภายใน ให้รันคำสั่ง:

net localgroup administrators /add munWksAdmins /domain

เมื่อใช้ PowerShell คุณสามารถเพิ่มผู้ใช้ให้กับผู้ดูแลระบบได้ดังนี้:

Add-LocalGroupMember -Group Administrators -Member ('a-d\j.smith', 'a-d\munWksAdmins','wks1122\user1') -Verbose

ในตัวอย่างนี้ เราเพิ่มผู้ใช้และกลุ่มจากโดเมน a-d และผู้ใช้โลคัล wks1122\user1 ให้กับผู้ดูแลระบบคอมพิวเตอร์

คุณสามารถเพิ่มผู้ใช้ในกลุ่มผู้ดูแลระบบบนคอมพิวเตอร์หลายเครื่องพร้อมกันได้ ในกรณีนี้ คุณสามารถใช้ Invoke-Command cmdlet จาก PowerShell Remoting เพื่อเข้าถึงคอมพิวเตอร์ระยะไกลผ่านเครือข่าย:

$WKSs = @("PC001","PC002","PC003")
Invoke-Command -ComputerName $WKSs -ScriptBlock {Add-LocalGroupMember -Group Administrators -Member a-d\munWksAdmins'}

ในสภาพแวดล้อมของโดเมน Active Directory ควรใช้นโยบายกลุ่มเพื่อให้สิทธิ์ผู้ดูแลระบบภายในบนคอมพิวเตอร์โดเมน ซึ่งง่ายกว่า สะดวกกว่า และปลอดภัยกว่าการเพิ่มผู้ใช้ลงในกลุ่ม Administrators ภายในคอมพิวเตอร์แต่ละเครื่องด้วยตนเอง คุณสามารถใช้ตัวเลือกนโยบายกลุ่มสองตัวเลือกเพื่อจัดการกลุ่มผู้ดูแลระบบบนคอมพิวเตอร์โดเมน:

• จัดการสมาชิกกลุ่มท้องถิ่นด้วยการตั้งค่านโยบายกลุ่ม

• การเพิ่มผู้ใช้ในกลุ่มท้องถิ่นโดยใช้คุณลักษณะ GPO ของกลุ่มที่จำกัด

จะเพิ่มผู้ใช้โดเมนให้กับผู้ดูแลระบบภายในผ่านการตั้งค่านโยบายกลุ่มได้อย่างไร

การตั้งค่านโยบายกลุ่ม (GPP) เป็นวิธีที่ยืดหยุ่นและสะดวกที่สุดในการให้สิทธิ์ผู้ดูแลระบบภายในบนคอมพิวเตอร์โดเมนผ่าน GPO

สมมติว่างานของคุณคือการให้สิทธิ์ผู้ดูแลระบบภายในบนคอมพิวเตอร์ใน Active Directory OU (หน่วยองค์กร) เฉพาะกับกลุ่มทีม HelpDesk สร้างกลุ่มความปลอดภัยใหม่ในโดเมนของคุณโดยใช้ PowerShell และเพิ่มบัญชีทีม Helpdesk เข้าไป:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=com' -GroupScope Global -PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

เปิดคอนโซลการจัดการนโยบายกลุ่มของโดเมน (

GPMC.msc

) สร้างนโยบายใหม่ (GPO) AddLocaAdmins และเชื่อมโยงกับ OU ที่มีคอมพิวเตอร์ (ในตัวอย่างของฉัน มันคือ 'OU=Computers,OU=Munich,OU=DE,DC=a-d,DC =คอม').

1. แก้ไข GPO AddLocaAdmins ที่คุณสร้างไว้ก่อนหน้านี้

2. ไปที่ส่วน GPO ต่อไปนี้: Computer Configuration -> Preferences -> Control Panel Settings -> Local Users and Groups;

3. เพิ่มกฎใหม่ (ใหม่ -> กลุ่มท้องถิ่น);

   

4. เลือก อัปเดต ในฟิลด์การดำเนินการ (เป็นตัวเลือกที่สำคัญ!);

5. เลือก ผู้ดูแลระบบ (ในตัว) ในรายการแบบเลื่อนลงชื่อกลุ่ม แม้ว่ากลุ่มนี้จะถูกเปลี่ยนชื่อบนคอมพิวเตอร์ การตั้งค่าจะถูกนำไปใช้กับกลุ่มผู้ดูแลระบบภายในโดย SID (

   S-1-5-32-544

   );

6. คลิกปุ่ม เพิ่ม และเลือกกลุ่มที่คุณต้องการเพิ่มในกลุ่มผู้ดูแลระบบภายใน (ในกรณีของเรา นี่คือ munWKSAdmins)

   คุณสามารถลบผู้ใช้และกลุ่มที่เพิ่มด้วยตนเองทั้งหมดออกจากผู้ดูแลระบบภายในเครื่องบนคอมพิวเตอร์ทุกเครื่อง ทำเครื่องหมายที่ตัวเลือก “ลบผู้ใช้ที่เป็นสมาชิกทั้งหมด ” และ “ลบกลุ่มสมาชิกทั้งหมด ” ในกรณีส่วนใหญ่ มีเหตุผลเพราะคุณรับประกันว่าเฉพาะกลุ่มโดเมนที่ได้รับอนุมัติเท่านั้นที่จะมีสิทธิ์ของผู้ดูแลระบบในคอมพิวเตอร์โดเมนของคุณ หากคุณเพิ่มผู้ใช้ลงในกลุ่มผู้ดูแลระบบด้วยตนเองโดยใช้สแน็ปอิน “ผู้ใช้และกลุ่มภายใน” ผู้ใช้นั้นจะถูกลบออกโดยอัตโนมัติในครั้งต่อไปเมื่อมีการใช้นโยบาย

   

7. บันทึกนโยบายและรอให้นำไปใช้กับไคลเอ็นต์เวิร์กสเตชัน หากต้องการใช้การตั้งค่า Group Policy ทันที ให้เรียกใช้คำสั่งนี้

   gpupdate /force

   บนคอมพิวเตอร์ของผู้ใช้

8. เปิด

   lusrmgr.msc

   สแน็ปอินบนคอมพิวเตอร์โดเมนใด ๆ และตรวจสอบสมาชิกกลุ่มผู้ดูแลระบบภายใน ควรเพิ่มเฉพาะกลุ่ม munWKSAdmins ในกลุ่มนี้ ขณะที่ผู้ใช้และกลุ่มอื่นๆ จะถูกลบออก (ยกเว้นบัญชีผู้ดูแลระบบ Windows ในตัว)

การเพิ่มผู้ใช้รายเดียวในกลุ่ม Local Admins บนคอมพิวเตอร์เฉพาะที่มี GPO

บางครั้งคุณอาจต้องให้สิทธิ์ผู้ดูแลระบบแก่ผู้ใช้รายเดียวในคอมพิวเตอร์เครื่องใดเครื่องหนึ่ง ตัวอย่างเช่น คุณมีนักพัฒนาหลายคนที่ต้องการสิทธิ์ขั้นสูงเป็นครั้งคราวเพื่อทดสอบไดรเวอร์ แก้ไขจุดบกพร่อง หรือติดตั้งบนคอมพิวเตอร์ของตน ไม่มีเหตุผลที่จะเพิ่มพวกเขาในกลุ่มของผู้ดูแลระบบเวิร์กสเตชันที่มีสิทธิ์ในคอมพิวเตอร์โดเมนทั้งหมด

คุณสามารถใช้ตัวกรอง GPO WMI หรือ การกำหนดเป้าหมายระดับรายการ เพื่อให้สิทธิ์ผู้ดูแลระบบท้องถิ่นในคอมพิวเตอร์เครื่องใดเครื่องหนึ่ง

สร้างรายการใหม่ในส่วนการกำหนดค่าตามความชอบ GPO (การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า -> การตั้งค่าแผงควบคุม -> ผู้ใช้ภายในและกลุ่ม) ของนโยบาย AddLocalAdmins ที่สร้างขึ้นก่อนหน้านี้:

1. การกระทำ:

   Update

2. ชื่อกลุ่ม:

   Administrators (Built-in)

3. คำอธิบาย: “

   Add amuller to the local administrators on the mun-dev-wsk21 computer

   ”

4. สมาชิก: เพิ่ม ->

   amuller 

   

5. ในแท็บ ทั่วไป -> การกำหนดเป้าหมาย ให้ระบุกฎนี้: “

   the NETBIOS computer name is mun—dev-wks24.

   ” หมายความว่ารายการ Group Policy นี้จะใช้กับคอมพิวเตอร์ที่ระบุที่นี่เท่านั้น

   

นอกจากนี้ ให้สังเกตลำดับการสมัครเป็นสมาชิกกลุ่มบนคอมพิวเตอร์ (ไฟล์

Order 

คอลัมน์ GPP). การเป็นสมาชิกกลุ่มในพื้นที่จะใช้จากบนลงล่าง (เริ่มจาก

Order 1

นโยบาย).

ตัวเลือกแรกของนโยบาย GPP (ด้วยการตั้งค่า “ลบผู้ใช้ที่เป็นสมาชิกทั้งหมด ” และ “ลบกลุ่มสมาชิกทั้งหมด ” ตามที่อธิบายไว้ข้างต้น) จะลบผู้ใช้/กลุ่มทั้งหมดออกจากกลุ่มผู้ดูแลระบบภายในและเพิ่มกลุ่มโดเมนที่ระบุ จากนั้นจึงนำนโยบายเฉพาะคอมพิวเตอร์เพิ่มเติมมาใช้โดยเพิ่มผู้ใช้ที่ระบุให้กับผู้ดูแลระบบภายในเครื่อง หากคุณต้องการเปลี่ยนลำดับการเป็นสมาชิกในกลุ่มผู้ดูแลระบบ ให้ใช้ปุ่มที่ด้านบนของคอนโซลตัวแก้ไข GPO

การจัดการผู้ดูแลระบบท้องถิ่นด้วย GPO กลุ่มที่จำกัด

นโยบายกลุ่มที่ถูกจำกัดยังอนุญาตให้เพิ่มกลุ่มโดเมน/ผู้ใช้ลงในกลุ่มความปลอดภัยในเครื่องบนคอมพิวเตอร์ นี่เป็นวิธีเก่าในการให้สิทธิ์ผู้ดูแลระบบภายในเครื่อง และปัจจุบันใช้น้อยลง (มีความยืดหยุ่นน้อยกว่าวิธีการตั้งค่านโยบายกลุ่มที่อธิบายไว้ข้างต้น)

1. เปิด GPO ของคุณ

2. ขยายส่วน การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> การตั้งค่าความปลอดภัย -> กลุ่มที่ถูกจำกัด

3. เลือก เพิ่มกลุ่ม ในเมนูตามบริบท

   

4. ในหน้าต่างถัดไป พิมพ์ ผู้ดูแลระบบ แล้วคลิก ตกลง

   

5. คลิก เพิ่ม ในส่วน สมาชิกของกลุ่มนี้และระบุกลุ่มที่คุณต้องการเพิ่มให้กับผู้ดูแลระบบภายใน

   

6. บันทึกการเปลี่ยนแปลง ใช้นโยบายกับคอมพิวเตอร์ของผู้ใช้ และตรวจสอบกลุ่ม ผู้ดูแลระบบ ในเครื่อง จะต้องมีเฉพาะกลุ่มที่คุณระบุไว้ในนโยบายเท่านั้น

   การตั้งค่านโยบายกลุ่มเหล่านี้เสมอ (!) ลบสมาชิกที่มีอยู่ทั้งหมดของกลุ่มผู้ดูแลระบบภายใน (ซึ่งเพิ่มด้วยตนเอง โดยนโยบายหรือสคริปต์อื่น)

หากคุณต้องการคงความเป็นสมาชิกปัจจุบันของกลุ่มผู้ดูแลระบบและเพิ่มกลุ่มเพิ่มเติม (ผู้ใช้) โดยใช้ GPO ของกลุ่มที่จำกัด คุณจะต้อง:

1. สร้างรายการใหม่ในกลุ่มที่จำกัด และเลือกกลุ่มความปลอดภัย AD (!!!) ที่คุณต้องการเพิ่มให้กับผู้ดูแลระบบภายใน

   

2. จากนั้นเพิ่ม ผู้ดูแลระบบ ในส่วน กลุ่มนี้เป็นสมาชิกของ

   

3. อัปเดตการตั้งค่า GPO บนไคลเอ็นต์และตรวจสอบให้แน่ใจว่าได้เพิ่มกลุ่มโดเมนของคุณลงในกลุ่มผู้ดูแลระบบภายในแล้ว ในกรณีนี้ ตัวการปัจจุบันในกลุ่มโลคัลจะไม่ถูกแตะต้อง (ไม่ถูกลบออกจากกลุ่ม)

ในตอนท้ายของบทความ ฉันจะทิ้งคำแนะนำสำหรับการจัดการสิทธิ์ของผู้ดูแลระบบในคอมพิวเตอร์และเซิร์ฟเวอร์ Active Directory

แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยแบบคลาสสิกของ Microsoft แนะนำให้ใช้กลุ่มต่อไปนี้เพื่อแยกสิทธิ์ของผู้ดูแลระบบในโดเมน AD:

1. Domain Admins ใช้กับตัวควบคุมโดเมนเท่านั้น

   จากมุมมองด้านความปลอดภัยสำหรับบัญชีผู้ดูแลระบบที่มีสิทธิ์ ไม่แนะนำให้ดำเนินการดูแลระบบรายวันบนเวิร์กสเตชันและเซิร์ฟเวอร์ภายใต้บัญชีที่มีสิทธิ์ของผู้ดูแลระบบโดเมน ต้องใช้บัญชีเหล่านี้สำหรับงานการจัดการ AD เท่านั้น (การเพิ่มตัวควบคุมโดเมนใหม่ การจัดการการจำลอง การปรับเปลี่ยนสคีมา Active Directory ฯลฯ) งานการจัดการผู้ใช้ คอมพิวเตอร์ หรือ GPO ส่วนใหญ่จะต้องมอบให้กับบัญชีผู้ดูแลระบบทั่วไป (โดยไม่มีสิทธิ์ผู้ดูแลระบบโดเมน) ห้ามใช้บัญชีผู้ดูแลโดเมนเพื่อเข้าสู่ระบบเวิร์กสเตชันหรือเซิร์ฟเวอร์ใดๆ นอกเหนือจากตัวควบคุมโดเมน

2. ผู้ดูแลเซิร์ฟเวอร์ คือกลุ่มที่อนุญาตให้จัดการโฮสต์ Windows Server ในโดเมน AD ต้องไม่เป็นสมาชิกของกลุ่ม Domain Admins หรือกลุ่ม Local Administrators บนเวิร์กสเตชัน

3. ผู้ดูแลระบบเวิร์กสเตชัน เป็นกลุ่มสำหรับการทำงานด้านการดูแลระบบในเวิร์กสเตชันเท่านั้น ต้องไม่เป็นสมาชิกของกลุ่มผู้ดูแลโดเมนและผู้ดูแลเซิร์ฟเวอร์

4. ผู้ใช้โดเมน คือบัญชีผู้ใช้ทั่วไปในการดำเนินงานทั่วไปในสำนักงาน พวกเขาจะต้องไม่มีสิทธิ์ของผู้ดูแลระบบบนเซิร์ฟเวอร์หรือเวิร์กสเตชัน

5. ไม่แนะนำให้เพิ่มบัญชีผู้ใช้แต่ละบัญชีในกลุ่มผู้ดูแลระบบภายใน ควรใช้กลุ่มความปลอดภัยของโดเมน ในกรณีนี้ ในการให้สิทธิ์ผู้ดูแลระบบแก่พนักงานฝ่ายสนับสนุนด้านเทคนิคคนถัดไป ก็เพียงพอแล้วที่จะเพิ่มเขาลงในกลุ่มโดเมน (โดยไม่จำเป็นต้องแก้ไข GPO)