Abfrage Domäne Clients lokale Administratorrechte

[Michael1985]

Hallo liebes Forum,

ich habe eine Windows Server 2012 R2 Domäne.

Gibt es eine Möglichkeit mit Windows Bordmitteln eine Abfrage zu erstellen, wo man auf den einzelnen Clients auslesen kann, welcher User dort lokale Administratorrechte besitzt bzw. in der lokalen Gruppe der Administratoren ist?

MfG Michael

[Chief Wiggum]

https://www.windowspro.de/tipp/mitglieder-lokalen-administratoren-gruppe-anzeigen

Beachten sollte man hierbei, dass man die sprachspezifischen Bezeichnungen der Gruppen beachten sollte... "Administratoren" ist nicht "administrators" und auch nicht "Administrateurs". Solltest du also Clients mit verschiedenen Sprachen betreiben musst du das Script auf die bei dir vorkommenden Sprachen anpassen.

[varafisi]

vor 27 Minuten schrieb Michael1985:

Gibt es eine Möglichkeit mit Windows Bordmitteln eine Abfrage zu erstellen, wo man auf den einzelnen Clients auslesen kann, welcher User dort lokale Administratorrechte besitzt bzw. in der lokalen Gruppe der Administratoren ist?

Sofern du eine GPO hast, welche den Usern eine lokale Adminrechte erteilt hat oder erteilt, kannst du dir lokal bei jedem User alle geltenden GPO's über das cmdlet gpupdate /v anzeigen lassen. Welche Situation in der Praxis hat dich dazu veranlasst diese Frage zu stellen?

Bearbeitet 21. Oktober 2019 von varafisi

[Chief Wiggum]

vor 19 Minuten schrieb varafisi:

Sofern du eine GPO hast, welche den Usern eine lokale Adminrechte erteilt hat oder erteilt

Danke für den Hinweis, so kann man es auch machen.

Allerdings bekommst du dann doch nur die User ausgegeben, auf die die GPO wirkt. Manuell der lokalen Admingruppe hinzugefügte User bekommst du mit deiner Methode nicht ausgegeben oder?

[varafisi]

vor einer Stunde schrieb Chief Wiggum:

Allerdings bekommst du dann doch nur die User ausgegeben, auf die die GPO wirkt. Manuell der lokalen Admingruppe hinzugefügte User bekommst du mit deiner Methode nicht ausgegeben oder?

Mit dem cmdlet bekommst du auf dem User die Namen der GPO's und Gruppenzugehörigkeiten angezeigt, die auf dem Client wirken bzw. anliegen. Benutzergruppen und/oder Computergruppen. Da kommt es auf die Infrastruktur an. Das Basic cmdlet whoami /groups bietet außerdem noch das Aufzählen von Verteilergruppen und den Verschachtelungen auf (Wenn eine Gruppe Mitglied einer anderen ist).

 

vor 1 Stunde schrieb Chief Wiggum:

Manuell der lokalen Admingruppe hinzugefügte User bekommst du mit deiner Methode nicht ausgegeben oder?

Ich bin mir gerade nicht sicher, ob es nicht bei einer Domäne eine Default Group ist, ich glaube nicht.
Sofern man die GPO mit den lokalen Administratorrechten besitzt, schaut man auf die Verknüpfungen der GPO auf der jeweilige OU und hat seine User gefunden.