Ich muß einem Mitarbeiter wegen eines bestimmten Progs, daß er wartet, auf dem BDC den lokalen Admin zugestehen.
Mit diesem Priveleg kann er aber locker den Usermanager aufrufen und sich Domain-Admin geben.
Wie kann ich letzteres verhindern?
Ich kann und will nicht einen neuen BDC aufstellen um diesen bewußten dann nur als Memberserver laufen zu lassen, zumal ich nicht sicher bin, ob er es dort nicht auch könnte…
bye
>Micha
Ich muß einem Mitarbeiter wegen eines bestimmten Progs, daß er
wartet, auf dem BDC den lokalen Admin zugestehen.
Auf einem BDC gibt es keinen lokalen Admin. Öffnet man den Usermanager auf einem BDC (oder PDC) hat man immer den „Usermanager für Domänen“ vor sich. Einen lokalen Usermanager gibt es nicht, also auch keinen lokalen Admin.
Mit diesem Priveleg kann er aber locker den Usermanager
aufrufen und sich Domain-Admin geben.
Wie kann ich letzteres verhindern?
Ich kann und will nicht einen neuen BDC aufstellen um diesen
bewußten dann nur als Memberserver laufen zu lassen, zumal ich
nicht sicher bin, ob er es dort nicht auch könnte…
Auf einem Memberserver ist es möglich, nur lokale Admin-Rechte zu vergeben.
Das ist auf jeden Fall die bessere Lösung. Zwar auch nicht ideal (wieso muß den der User an einem Server arbeiten; ist es nicht möglich, das Programm auf einem Server zu installieren und auf der Workstation des Users das entsprechende Frontend) aber immer noch besser, als einen „normalen“ User an einem Domänencontroller arbeiten zu lassen. Niemals.
(Äääh, ist doch nicht schlimm, wenn ich meine Fesptlatte formatiert habe, oder?)
Viel Spaß noch
Martin
bye
>Micha