如何判断某个 AD 用户是否具有 Windows Server 2003 的管理员权限？

Question

如何判断某个 AD 用户是否具有 Server 2003 机器的管理员权限？我正在使用企业版。

Answer 1

这取决于服务器是否是域控制器。如果不是域控制器，则所有用户都具有管理权限，这些用户是本地管理员组的成员（请参阅计算机管理 > 本地用户和组 - 管理员。）

如果服务器是域控制器，则管理员组、域管理员组或企业管理员组（如果存在域林）成员的用户对该特定服务器具有管理员权限。默认情况下，域管理员组是域中所有计算机上所有管理员组的成员。

您可以在此处找到Active Directory 内置组和帐户的列表：

管理员

初始安装操作系统后，该组的唯一成员是管理员帐户。当计算机加入域时，Domain Admins 组将添加到 Administrators 组中。当服务器成为域控制器时，Enterprise Admins 组也会添加到 Administrators 组中。管理员组具有使其成员能够完全控制系统的内置功能。该组是该组成员创建的任何对象的默认所有者。

域管理员

其成员被授权管理域的全局组。默认情况下，Domain Admins 组是已加入域的所有计算机（包括域控制器）上 Administrators 组的成员。域管理员是组中任何成员在域的 Active Directory 中创建的任何对象的默认所有者。如果该组的成员创建其他对象（例如文件），则默认所有者是管理员组。

企业管理员

仅存在于 Active Directory 域林的根域中的组。如果域处于纯模式，则它是通用组；如果域处于混合模式，则它是全局组。该组有权在 Active Directory 中进行林范围内的更改，例如添加子域。默认情况下，该组的唯一成员是林根域的管理员帐户。