Alm. bruger kan tilfoeje objekter til et domain. Hvorfor?

alm. bruger har ikke rettighed tilat tilføj computer eller objekter til et domain, og det er ikke noget maan slår fra eller til
kigge lige på den bruger profile og egenskaber og han han er medlem af, og fjerne alt og behold users gruppe.

prøve lige at tjeck om den bruger er medlem af lokale admin  som er medlem af domain admin..

Godt så, rigtigmmk. Du har selv prøvet om det du siger er rigtigt? På en ganske ny-installeret maskine, hvor der ikke er nogen Politikker der overskriver den jeg taler om? Og de er heller ikke medlem af en admin-gruppe. Jeg bruger en standard-domain-politik til den OU jeg har lavet til brugerne. Og det står desuden også i education-bogen om Win2K3 (og i Win2KServer for den sags skyld), at dette er standard. Kan ikke lige huske sidenummer, da jeg ikke har bogen her. Vil vende tilbage til det i morgen.

Mon ikke at det er denne policy du søger:
Computer Configuration >Windows Settings >Security Settings >Local Policies >User Rights Assignments.
Add workstation to domain.

:-)

Jeg takker for jeres opmærksomhed, men har selv fundet svaret. Det var lidt kryptisk, men jeg har laven en How-To, som andre måske kan få glæde af:

Alm. brugers rettighed til at logge noder paa domainet

Problem: Du oensker ikke at en alm. bruger skal have lov til at tilfoeje noder til dit domaine. Disse har som standard lov til at tilfoeje 10 noder.

Loesning 1:
1: Aabn "Active Directory Users and computers".
2: Klik paa "View", og klik paa "Advance Features".
3: Hoejre klik paa "Computers", og klik paa "Properties".
4: Klik paa "Security"-fanen, og klik paa "Advanced".
5: Klik paa "Permisissions", og derefter paa "Authenticated Users". Klik "Edit".
6: I "apply onto" skal der staa "This object and all child objects".
7: I "Permissions" skal du finde "Create Computer Objects" samt "Delete Computers Objects". Saet flue-ben i Deny.
8: Klik OK.

Der skulle nu vaere lukket for den mulighed, at andre end Domain Admins kan tilfoeje/Fjerne Noder paa dit domaine.

Loesning 2:

1: Download/installer Microsoft Windows 2003 Resource Kit.
2: Installer Support Tools fra CD'en. (\support\tools\suptool.exe).
3: Klik Start, koer og skriv ADSIedit.msc.
4: Udvid Domain og hoejre-klik paa din DC. Gaa ind i Properties.
5: Vaer sikker paa at begge atributter er makeret. (Show mandatory attributes & Show optional attributes)
6: Find msDS-machineAccountQuota, og ret dens vaerdi til det oenskede antal noder, brugeren skal kunne have lov til at logge paa domainet.

Har du testet din løsning nr. 1?
Hvis jeg ikke tager meget fejl omfatter Authenticated Users ALLE der er logget på domænet, det vil sige også Domain Admins. Så med denne løsning er der ingen der kan tilføje en workstation til domænet.

Din løsning nr. 2, ser mere fornuftig ud. Men hvorfor ikke bare sætte den policy som jeg nævnte i mit svar?

:-)

Har prøvet dem begge, og de virker efter hensigten. Kan dog også bedst lide forslag nummer 2, da den giver mulighed for at rette på antalet af objekter, og ikke bare slår det fra.

Det er muligt, men du har ikke testet løsning nr 1 godt nok.
Når du sætter deny til Authenticated Users, under Create Computer Objects, er der ingen der kan oprette et computer object, og der med ingen der kan tilføje workstations til domænet, i hvert fald ikke i containeren Computers. Jeg har også testet lidt.
:-)

Har lige prøvet igen, og må desværre kommet frem til, at du nok har ret. Jeg er ikke meget for at indrømme det, men jeg kan heller ikke få det til at virke nu, så jeg har nok lavet en fejl under første forsøg.

Tak for fordi du gad at prøve det. 8)

Fint nok.

Jeg har et par bemærkninger til policy løsningen.

Forestil dig et domæne med flere fysiske lokationer. Du er fysisk pladseret på hovedlokationen, der skal tilføjes 100 nye workstations i en af de andre lokationer, hvor der ikke er nogen med administrative beføjelser. Du kan i din policy give "Anders And" ret til at tilføje de nye maskiner, når han er færdig, kan du fjerne hans rettigheder igen. Jeg mener at løsningen med en policy er den mest nuancerede.
:-)

Klart nok. Det ville da være bedst at gøre det på den måde, men mit "problem" gik nu også mere ud på at ALLE som standard har lov til at tilføje 10 computere. Hvilket jeg synes er meget underligt. Hvad skal en bruger med den rettighed? Og hvorfor er der ikke rigtigt nogen der kender til den? Og hvorfor er det lige 10 computere de kan tilføje domainet?

Nå, det jeg vidst hellere lade stå i det uvisse 8)

Et link til tvivlerne: http://support.microsoft.com/?kbid=251335
:-)

En lille side-kommentar:

I bogen Windows server 2003 Environment til eksamen 70-290(MCSA/MCSE) kapitel 5 side 5-4, øverste afsnit står følgene:
    "Each user in the Authenticated Users group (which is, in effect, all users) is allowed to join 10 computers to the domain, and can there for create as many as 10 computer objects in this manner"

Det må vel være bevis nok, over for rigtigmmk, at dette er standard hos Win2K3Server. Og dette bekræfter samtidig at "Authenticated Users group" er ALLE brugere på domain'et.

Hej tlyngej
sorry den sent svar..jeg var out of country..

du har fuldstændig ret, det er bare mig der misforstår dit spm.  du skrev alm. bruger og sikkerhedshul , jeg læste bare for hurtig og misforstår det. jeg beklager endnu engang


selvføgligt Authenticated Users group i windows 2000 og 2003 kan join 10 computers til domain.
synes lige at der mangler lige den her også:
"  Users who have the Create Computer Objects permission on the Active Directory computers container can also create computer accounts in the domain. The distinction is that users with permissions on the container are not restricted to the creation of only 10 computer accounts. In addition, computer accounts that are created by means of Add workstations to domain have Domain Administrators as the owner of the computer account, while computer accounts that are created by means of permissions on the computers container have the creator as the owner of the computer account. If a user has permissions on the container and also has the Add workstations to domain user right, the computer is added, based on the computer container permissions rather than on the user right.""

prøve at kigge også på den side der er noget værdifuld links og guide .

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/prodtechnol/windowsserver2003/proddocs/entserver/URAtopnode.asp

fra bogen Windows server 2003 Environment til eksamen 70-290(MCSA/MCSE) kapitel 5 side 5-4, øverste afsnit står følgene
synes lige vi skal have det hele med andra kan have glæde af

Creating Computer Accounts
You must be a member of the Administrators or Account Operators groups on the domain controllers to create a computer object in Active Directory. Domain Admins and Enterprise Admins are, by default, members of the Administrators group. Alternatively, it is possible to delegate administration so that other users or groups can create computer objects.
5-4 Chapter 5 Computer Accounts However, domain users can also create computer objects through an interesting, indirect process. When a computer is joined to the domain and an account does not exist, Active Directory creates a computer object automatically, by default, in the Computers OU. Each user in the Authenticated Users group (which is, in effect, all users) is allowed to join 10 computers to the domain, and can therefore create as many as 10 computer objects in this manner.