Как мне управлять Windows, такой как Linux / Unix: административные права по членству в группе без аварий и без совместного использования пароля администратора?

Я делаю некоторые фундаментальные изменения в среде Windows Server 2003/2008. На стороне Unix мои ограничения безопасности просты:

1. Пользователи, которые должны иметь права администратора, находятся в специальной группе («колесо» или подобное).
2. Когда эти пользователи входят в систему на этих машинах, они по-прежнему не имеют прав администратора, пока они явно не выполнят команду с этими правами администратора («команда sudo» или «su»).
3. Даже когда они выполняют команду с «su» (что-то вроде «runas»), им все равно нужно ввести пароль: свой собственный.

В этой системе я могу контролировать, кто имеет права администратора (по членству в группе), предотвращать их случайное выполнение чего-либо с привилегиями администратора случайно (требуя "su" или "sudo") и никогда не раскрывать ядро ​​"Администратор" (т.е. «root») пароль, так как их просят самостоятельно.

Как мне сделать эквивалент на Windows Server? Варианты, как я вижу это:

1. Добавить пользователя в учетную запись локального администратора: Но тогда все, что они делают, это как администратор, рискуя ошибкой
2. Требуйте, чтобы они сделали «runas Administrator»: Но тогда они должны знать пароль администратора, которым я не хочу обмениваться.

Есть ли какое-либо решение, в котором я могу одновременно: контролировать, кто имеет доступ через членство в группе; предотвратить случайное повреждение, требуя отдельного пароля; помешать им узнать пароль администратора?

Во-первых, только администраторы должны получать административный доступ, поэтому, если нет ОГРОМНОЙ (я не могу придумать хорошего) причины, по которой им это нужно, то это следует оставить администраторам; Есть редкие случаи, когда обычный пользователь получает права администратора, и даже тогда я обычно скептически отношусь к тому, зачем им это нужно.

Во-вторых, вы можете выполнить то, что вы хотите, используя членство в группе в Windows. Вы не сказали, что используете Active Directory, поэтому я не уверен, есть ли у вас домен, но вы можете создавать группы безопасности и добавлять к ним отдельные учетные записи пользователей. Посмотреть здесь. Я бы не стал добавлять пользователей в группу локальных администраторов на сервере по отдельности, так как это может привести к путанице и затруднить отслеживание дальнейших действий, а также создаст много головной боли для вас и потенциальных проблем безопасности. Как я уже говорил, я бы создал группу безопасности и добавил в нее членов, которым вы хотите предоставить доступ администратора. Вы бы создали две учетные записи для своих пользователей; одна для обычного входа в систему, а затем вторая учетная запись, которая использовалась только для повышенных действий. Вы добавили бы учетную запись «более высокого / привилегированного» пользователя в группу безопасности, затем вы можете поместить эту группу в расширенное членство в локальной группе на фактическом сервере, например, «Опытные пользователи». Это позволит им выполнять множество функций, не будучи администраторами.

Что касается запуска от имени администратора, вам не нужно делать это все время. Лучший способ заставить людей запускать программы, не зная пароля администратора или администратора, - использовать Shift + щелчок правой кнопкой мыши, а затем выбрать «Запуск от имени другого пользователя» или «Щелкните правой кнопкой мыши и запустите от имени администратора». Сначала вы захотите создать для них отдельного пользователя с более высокими или повышенными правами, как упомянуто выше (этот пользователь с повышенными правами будет снова добавлен в группу безопасности, как упомянуто выше), так как затем этот пользователь может использоваться для запуска вещей, которые требовать повышения прав при входе в систему с обычной / стандартной учетной записью пользователя. Смотрите мой скриншот:

Это должно заботиться о том, что вы хотите сделать, вплоть до запуска вещей в качестве администратора. И последнее замечание, которое я мог бы добавить, - оставить UAC включенным. Если вы сделаете это, пользователи должны будут ввести свой (повышенный) пароль, а не пароль администратора для того, что они делают на сервере. Это боль, когда приходится много печатать, но для безопасности это того стоит.

Оставьте их стандартную учетную запись как «стандартную». Создайте им привилегированную вторую учетную запись и добавьте ее в различные административные группы. Используйте 'runas' с привилегированной учетной записью. (Может оказаться полезным отключить интерактивные входы в систему с учетной записью администратора, но опять же - это, вероятно, будет раздражать).

В Server 2003 вам нужно будет использовать Run As...опцию для запуска в качестве учетной записи с правами администратора.

В Server 2008+ вы используете UAC и / или предложенную Run as Administratorвами опцию. Для этого не требуется знать пароль для в [LOCAL] управленческого учета - любые административные полномочия будут делать.

Таким образом, вы добавляете их учетные записи в локальные административные группы или, что лучше, с точки зрения безопасности, создаете отдельные административные учетные записи и добавляете их в локальные административные группы. Затем, когда им нужно запустить что-то с правами администратора, UAC запросит учетные данные администратора и / или они будут использовать параметр Run As.../ Run as Administrator.