Newsgroup: it.comp.os.win.win2000
Titolo: Dominio Win2003: account per "manutenzione"?

ciao a tutti!
Sto gestendo un dominio Windows 2003 in una scuola. Ho tutti gli
account in roaming e su ogni client inoltre è presente solo l'account
di administrator locale.
Per i "tecnici" della scuola ho preparato un account come per tutti
gli altri utenti, con tale account (personale) possono accedere ad una
cartella condivisa di appoggio dove scaricano materiale / programmi
etc...
Il problema si pone quando questi devono fare manutenzione sui singoli
PC: normalmente accedono con l'account di admin locale (del quale
conoscono la password) e in tale modo ottengono accesso completo alla
macchina ma non riescono ad accedere alle cartelle sul server di
appoggio di cui vi parlavo prima.
Se invece accedono alla macchina con il loro account hanno i classici
privilegi di users e quindi non riescono ad installare programmi,
modificare impostazioni etc...
Qual'è il metodo che mi suggerite per consentire loro - senza dare la
password di admin del dominio! - di gestire le singole macchine?
Esiste la possibilità di "mappare" i loro account globali (dominio)
sugli account administrator locali delle singole macchine?
Grazie

 modificare impostazioni etc...
[CUT]
Crea una OU (Organization Unit ) nel dominio in cui aggiungi gli accounts di
dominio dei tecnici e poi sui PC aggiungi la OU nel gruppo amministratori
locali
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups

locali
grazie per il suggerimento... due domande:
1. io ho sempre creato "gruppi" sia per account utente che per account
computer... le OU sono la stessa cosa?
2. l'aggiunta agli admin locali deve essere fatta su ogni macchina o è
possibile farla via GPO e propagarla direttamente? Ho un parco
macchine di un centinaio di PC da far passare :-)
grazie ancora!

 macchine di un centinaio di PC da far passare :-)
Puoi provare ad utilizzare uno script di avvio con il seguente comando
net localgroup administrators domain\user_name /add


 amministratori locali
Ehm... Support, mi spiace ma temo che tu sia in errore, le OU non hanno
alcuna importanza ai fini di gestire le autorizzazioni... servono solo a
raggruppare oggetti all'interno di AD (e ad assegnargli policy)!
Quello che hai detto (inserire una OU dentro un gruppo), semplicemente non
si può fare.
Massimo

 ha scritto nel messaggio
news:dm9640hkkji827qlh...@4ax.com

Crea un gruppo (non una OU...) nel dominio e mettici dentro gli utenti che
dovranno avere i diritti di admin locali.
Crea una OU (stavolta sì :-) ) e mettici dentro tutti i client della rete.
Vai nelle proprietà della OU e crea una Group Policy, cerca nelle
impostazioni del computer la policy "Gruppi con restrizioni" (scusa ma non
ricordo di preciso dove sia), e digli che del gruppo locale "Administrators"
devono far parte solo il gruppi "Domain Admins", il gruppo che hai creato e
l'utente locale "Administrator".
Se hai bisogno di aiuto, scrivi e provo a dirti i passaggi precisi... ma
dovresti poterci arrivare da solo, se cerchi un po' :-)
Massimo

l'utente locale "Administrator".
Quando imposto in maniera che "Domain Admins" diventino "Power Users"
locali, mi rimane memorizzato nella policy un SID anziché "Power
Users": credo che dipenda dal fatto che tale gruppo non esiste nel
dominio.
Se volessi crearlo, che gruppo dovrebbe essere? Globale, Locale...che
altro?

si può fare.
Ciao Massimo, hai detto una cosa corretta ed una un po' meno:
E' vero che non si possono inserire OU nei gruppi locali (operazione
impossibile). Le OU tuttavia non servono solamente per applicare le
policies ma anche per le deleghe amministrative.
------------------
Alessandro Borille
Microsoft MVP - (Windows 2000)

dovresti poterci arrivare da solo, se cerchi un po' :-)
perfetto! Ho appena fatto come mi hai suggerito e appena riavvio la
macchina prende correttamente il GPO e mi trovo il gruppo
DOMINIO\Assistenti nel gruppo locale Administrators.
Grazie 1k per il suggerimento!!!
Già che ci sono approfitto ulteriormente della disponibilità tua e
degli altri amici del newsgroup: come avrete capito sono un sysadmin
"improvvisato" (nel senso che nella scuola bisogna rimboccarsi le
maniche e cercare di arrangiarsi!) quindi non ho grandissime
conoscenze di Win2003 e di AD. Premessa d'obbligo prima di una domanda
forse "ovvia": esiste un modo per gestire il dominio senza essere
fisicamente davanti al server? Ovvero di poter accedere alle
impostazioni degli utenti, dei GPO etc da qualsiasi computer connesso
al dominio nel quale faccio il login?
grazie

grazie
Puoi abilitare il remote desktop su win2003 e poi sui client
utilizzare la connessione al desktop remoto (xp) o il client per i
terminal services (win2000). In questa maniera e' come se fossi
fisicamente davanti al server.
Oppure puoi installarti le MMC di amministrazione sul tuo pc client,
le trovi nel file adminpak.msi nel cd del server.


 policies ma anche per le deleghe amministrative.
Vero, avevo sottinteso che "raggruppare oggetti" servisse anche a gestire le
autorizzazioni su questi ultimi :-)
Massimo

 altro?
Non devi crearlo, è un gruppo che esiste solo localmente alle macchine, non
a livello di AD (anche se vorrei che ci fosse, renderebbe queste cose molto
più comode).
Lascia tutto così, va bene.
Massimo

Lascia tutto cosě, va bene.
Diciamo che funziona, č un po' brutto il fatto di dovere tenere a
mente i mappaggi.
Non capisco, comunque, il funzionamento preciso della cosa: quel SID
rappresenta i power users locali di qualsiasi macchina o č relativo
alle macchine client del dominio?