Windows：如何向（域）管理员“隐藏”域详细信息？

Question

我在我们公司有一个基于 Windows 的小型网络，包括。一台 Win2008 服务器作为域控制器，另一台较旧的 Win2003 服务器作为一种“备份”域控制器。现在我想让我的一位同事访问 Win2003 服务器，包括。本地管理员权限。

但是，这个帐户应该只获得该服务器的本地管理员权限，没有别的。所以我基本上想阻止这个帐户访问或至少修改任何 Windows 域设置（Active Directory）。除了这台旧服务器，他也不应该能够登录任何其他机器。尽管如此，他必须能够（卸载）安装程序并启动/停止服务。

有没有办法做到这一点？在此先感谢您的帮助！

亲切的问候，马蒂亚斯

Answer 1

您不能让某人成为 DC 上的管理员并阻止他们访问 ADUC、GPO 等内容。您将让他们成为域中内置\管理员的成员，这将允许他们执行任何操作他们要。

DC 上没有本地帐户。

这是您仅将域控制器用于Active Directory 和 DNS 并在其他服务器上运行其他服务的原因之一。管理委托要容易得多，而且更安全/稳定。