以群組原則設定網域使用者擁有 Local Administrator 權限及修改密碼

轉自 https://duke8888.wordpress.com/2015/03/27/利用群組原則設定網域使用者的-local-administrators-權限/

首先，因為網域使用者帳號預設是放在DC的「網域名稱→User」底下，而這個「User」並無法直接設定群組原則(Group Policy)。此外企業內的電腦通常會因各種因素而有不同的管理需求，所以應該要建立不同的OU來做管理。簡單的來說，我們可以先在「群組原則管理」(gpmc.msc)中的「群組原則物件」建立一些符合需求的原則，然後建立各部門的OU，最後再依實際需求將「群組原則物件」複製到那個OU去(或是直接在OU裡面新增原則)，比較能符合現實層面的管理。
一、賦予權限: 讓網域內的特定使用者擁有本機 Administrator 帳戶權限:
那如果要讓某位網域使用者 (假定為 CYCU\TEST1) 具備某一個OU下所有成員電腦中的系統管理員權限，若直接將這個 CYCU\TEST1 加入 Domain Admins 群組雖是最快的方式。但如此一來，這個 CYCU\TEST1 就具備了管理網域的權限，這樣權限絕對是過大了。因此建議的作法是在OU底下使用群組原則中的「受限群組」來將網域使用者加到 Administrators 群組織中，以後客戶端就可以使用 Administrator 這個管理員帳戶登入自己的電腦。操作的方式請參照下圖:


二、收回權限: 每次開機時修改網域內使用者的本機 Administrator 帳戶密碼:
雖然上面介紹了如何給 Local Administrator 權限，但筆者還是不太適合，因為那樣真的就有點失去 AD 的意義了，每個人都不受控制… 其實不給 Local Administrator 最主要的用意是在於防範使用者被賦予該部電腦的最高管理權限，可能導致中毒時去攻擊其他網域內的電腦，所以為了安全性，不開放才是比較好的做法啊…
那有什麼好方法可以管理 Local Administrator 帳戶的權限呢? 如果公司政策支持的話，網管人員最簡單的做法就是寫一個 vbs，如此就可以修改網域內每部電腦的 Local Administrator 密碼，然後統一保管，並要求使用者必須以網域帳號登入。以下的範例是修改 Local Administrator 的密碼為 12345678(如果 AD 裡面設定密碼必須複雜化，則這個 vbs 可能不會修改客戶端 Local Administrator 帳戶密碼):
strComputer = "."

Set objUser = GetObject("WinNT://" & strComputer & "/Administrator,user")
objUser.SetPassword "12345678"
objUser.SetInfo
1.在OU底下使用群組原則後再依下圖操作:

2.點選「顯示檔案」:

3.將第一步修改密碼的 vbs 放進去後即可讓使用者在登出後自動執行:

4.上述兩種原則設定完成後，如果想立即讓網域底下的電腦生效，請在 DC 上輸入「gpupdate /force」: