- - PR -
特定のユーザーにたいし特定のサーバーだけにフル権限を与えるには？
| 投稿者 | 投稿内容 | ||||||||
|---|---|---|---|---|---|---|---|---|---|
|
投稿日時: 2005-08-26 09:06
こんにちわ、前任者が放置逃亡したシステムを管理し始めております
LANのなかにWINDOWS2000で１つのドメインが構築されています １０程度の営業者が遠隔地にありありそれそれ一応IT管理者がいます 本部にFSMOを持つアクティブディレクトリがあり各営業所は、 基本的にDNSなどの設定をコピーするようになっています。 ところで最近管理業務が大変のでいくつかの支店でそこ支店だけの アクティブディレクトリサーバーに振る権限をあたえたいとおもっておりますが どのようにしたらようのでしょうか？ はずかしながらあまりアクティブディレクトリ詳しくなく、 ただのサーバーのようにLOCALでADMINをつくろうとしても そういったことができないようです。 本部や全営業所のアクティブディレクトリにアクセスできる権限をあたえずに その営業所だけのサーバーにフルアクセスできるようにユーザーを設定するには どうしたらいいのでしょうか？ | ||||||||
|
投稿日時: 2005-08-26 09:36
おはようございます．
こんな感じで http://www.atmarkit.co.jp/fnetwork/rensai/ad05/ad01.html 権限を委譲すればドウでしょう？ 或いは各営業所ごとに user group を設けて， その group をそれぞれの営業所の server の local の Administrators group へ参加させるとか． Domain Controller では後者の方法は使え無かったと思います． 以上，ご参考までに． | ||||||||
|
投稿日時: 2005-08-26 10:43
どこまでの権限を与えたいんでしょう？ 対象がサーバのオペレーション作業だけなのか、 ActiveDirectory関連のオペレーション作業なのか、 それらが全般的になのか、限定された範囲なのか、 それを明確にしないと、権限委譲の範囲が決められません。 どうせ管理体制がいいかげんな状態だったら、DomainAdminsグループに入れてしまって 管理に巻き込んでしまうのも一つの手 
| ||||||||
|
投稿日時: 2005-08-26 12:22
KAZさん、Mattunさん
またまたお世話になってしまい申し訳ありません http://www.atmarkit.co.jp/fnetwork/rensai/ad05/ad01.html はとても明快でした ただし、その営業所にあるアクティブDIRECTORYサーバーをリブートしたり WINDOWSのUPDATEもさせたり必要に応じて、アプリをインストールも させたりと、ほとんどそのサーバーのすべての管理権限を与えたいと思ってます。 もちろんドメインに参加しているだけのただのサーバーでなく アクティブディレクトリなので コンピュータのLOCALにいれるということができません Active Directory ユーザーとコンピュータ ですとその営業所のOUはみつかったのですが、実際のアクティブディレクトリサーバー そのもののOBJECTがみつかりませんでした USERの管理とかはできるようになったとおもうのですが サーバー管理業務だとActive Directory サイトとサービス もいじる必要があるのでしょうか？一応、委任してしまいました （OUではなくCN OBJECTでしたけど） 確かにMUTTUNさんのいわれるようにいっそのことDOMAIN ADMINを あげてしまいたいのですが、管理者の所属がITではなく その地方の部署に属し、他地域に対して何の責任もないので完全に ドメインアドミンをあたえることには躊躇してます なので今回、ローカルのものにしぼって 完全にほぼ１００％ 責任＋権限をあたえようとしております。 いろいろありがとうございました | ||||||||
|
投稿日時: 2005-08-26 20:45
こんばんわ．
reboot するだけなら，batch で出来るようにしておいて， 実行する権限だけ与えておけば local logon しなくても良いと思います． update は自動化する仕組みがありますけど，それではダメですか？ application は自動化できませんけど， 導入がそれほど頻繁にあるとは思えませんので， 考慮する必要ないように思われます．
DomainControllers という OU があったのではないかと記憶しています． | ||||||||
|
投稿日時: 2005-08-27 00:55
kazさん
いろいろ何度のありがとうございます 確かにありました。記事のように委任するオプションはありませんでしたが セキュリティでそのユーザーにそのドメインコントローラーを 管理する権限をあたえることが可能でした。 ただ、WINDOWS UPDATEなどやSHUTDOWNなどは検討してみます ありがとうございました。 | ||||||||
|
投稿日時: 2005-08-27 14:08
たびたびすみません
やはり、ログインができないようです 管理者ツールでパスワードの変更とかはできるようなのですが、サーバーに ログインができないようでした その営業所のドメインコントローラーにセキュリティーでフルアクセスをいれてやってもこのユーザーはローカルセキュリティーポリシーの設定によってログインができないと言ったメッセージがでてきてはいれないようです。 そのドメインコントローラーのローカルセキュリティーポリシーのユーザー権限のところでそのユーザーをいれてやってもだめのようです （ドメインのグループポリシーがローカルを上書きするからでしょうか？） やはりその営業所サイト独自のポリシーをいれてやらないとだめなのでしょうか？ なにかご存知でしたら教えてください くだらない質問ばかりですみません | ||||||||
|
投稿日時: 2005-08-28 15:29
こんにちわ．
これが何を指すかよくわかりませんが，
「対話的 logon を許可する」といった類の policy があり， そこには default で Administrators しか許可されていなかったと記憶しています． そのお話ですか？ | ||||||||
スキルアップ／キャリアアップ（JOB@IT）
Copyright © ITmedia, Inc. All Rights Reserved.
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。