Kontrollere rettigheder

ja, du gør brugeren selv eller "domain users" til medlem af den lokale administrator gruppe. Dette gøres enten manuelt eller via en GPO.

Jeg har forsøgt via GPO, men jeg må gøre noget forkert, da det netop giver admin rettigheder over serveren og ikke den lokale maskine... Nogen ideer?

du skal lave gpo'en så den kun rammer workstations og ikke servere.

Dette er hvad jeg har gjort:
- Oprettet en OU indeholdende gruppen "Domain computers".
- Denne OU linker jeg til min GPO indeholdende en "Restricted Group" hvor jeg specificerer en gruppe på serveren til at være medlem af Administratorer.

Jeg kan se at det der reelt sker er at den valgte gruppe bliver medlem af "builin\administrators"-gruppen.

Men når jeg på min workstation kører:

gpupdate /force
net localgroup administratorer

...bliver "Administrator" og "Domain/Domain admins" kun listet.

jeg vil stadig mene, at hvis domain users bliver admins på serveren og ikke på dine workstations, som du siger, hvis jeg forstår dig ret, så må politikken ramme forkert.