Active Directory, создайте пользователя только для добавления компьютеров в домен
По профессии я администратор Linux, и моя новая работа заключается в управлении серверами Windows.
Я пытаюсь создать базовый образ Windows Server 2012 с помощью упаковщика. В рамках подготовки виртуальная машина должна быть подключена к активному каталогу с помощью сценария. Очевидно, я не хочу вводить свой личный пароль в сценарий.
Можно ли создать в Active Directory пользователя, который имеет права на привязку компьютера к AD, но не может выполнять какие-либо другие действия (для соответствия)?
2 ответа
Обычно каждый пользователь Active Directory может добавить до 10 учетных записей компьютеров в домен без необходимости быть администратором домена; однако, это поведение может быть настроено политиками домена, поэтому это может быть не ваш случай; и даже если бы это было так, вы столкнулись бы с проблемой, как только для добавления 11-го компьютера понадобилась бы та же учетная запись пользователя.
Правильный способ - предоставить этой учетной записи пользователя специальное разрешение "Создание объектов компьютеров" в контейнере "Компьютеры" в Active Directory (где новые компьютеры добавляются по умолчанию) и / или в любом другом подразделении, где новые компьютеры могут быть добавленным (хотя немного сложнее добавить их где-нибудь в каталоге за пределами контейнера "Компьютеры" по умолчанию).
https://technet.microsoft.com/en-us/library/cc780195(v=ws.10).aspx
Конечно, создайте свою учетную запись, не присоединяйте ее к каким-либо группам и поместите ее где-нибудь в AD, где она не получит никаких прав, назначенных групповой политикой. По умолчанию аутентифицированные пользователи могут присоединять компьютеры к домену, если это было изменено, вам необходимо убедиться, что вашей учетной записи предоставлено право на добавление рабочих станций в домен через групповую политику. Это в Конфигурация компьютера \ Конфигурация Windows \ Параметры безопасности \ Локальные политики \ Назначение прав пользователя. Вы также можете сделать это, предоставив разрешения учетной записи в подразделении, в котором вы хотите разместить компьютер. Для этого предоставьте учетной записи разрешение на создание объектов "Объект" в подразделении, которое вы хотите использовать.