当您授予用户管理员访问权限时，SBS 2011 会在“幕后”做什么？

Question

我已经使用 Windows Server 很多年了，当我有人需要通过他们的机器进行本地管理员访问时，我通过组策略以类似于这个答案的方式应用它。

我的一个客户有 SBS 2011，而且，其中一项实际上非常简洁的功能是用户管理以及它们为用户提供本地管理员访问权限是多么容易：

这样做之后，我试图寻找很长时间，以了解它实际上在“幕后”应用了什么，但是，我失败了 - 我看不到任何相关的政策。任何应用的设置或选项。

有谁知道当您更改Access level用户名时 SBS 2011 实际做了什么，并且无论如何可以轻松地在非 SBS Windows Server 上复制它？

Answer 1

SBS服务器将域帐户添加到本地计算机的管理员组中。它通过从 SBS 服务器对选定计算机进行 WMI 调用（将帐户置于本地管理员组中）来完成此操作。

通过 PowerShell 自行完成此操作的方法是：

Function Add-DomainUserToLocalGroup
{
    [cmdletBinding()]
    Param(
    [Parameter(Mandatory=$True)]
    [string]$computer,
    [Parameter(Mandatory=$True)]
    [string]$group,
    [Parameter(Mandatory=$True)]
    [string]$domain,
    [Parameter(Mandatory=$True)]
    [string]$user
    )
        $de = [ADSI]"WinNT://$computer/$Group,group"
        $de.psbase.Invoke("Add",([ADSI]"WinNT://$domain/$user").path)
} #end function Add-DomainUserToLocalGroup

代码源自脚本专家博客。

这可以从非 SBS 服务器复制，只要您添加用户的计算机是域的一部分，执行命令的用户有权添加本地管理员，并且具有“Windows 远程”的防火墙例外为命令源自的网络​​启用“管理”。