親ドメインメンバーにドメイン管理者権限を付与する

Question 1

「親」ドメインのユーザーを親ドメインのグローバルグループに配置し、そのグローバルグループを「子」ドメインの「Administrators」ドメインローカルグループにネストすることができます。これにより、必要な機能が提供されます (子ドメインに AD 権限のストックセットがあることを前提としています)。「Administrators」は、AD のすべての権限において「Domain Admins」と同じ権限で名前が付けられます。

あなたが作成した共有などの権限に関しては、それはあなたの問題です。>smile<

編集：

子ドメインの「BUILTIN\Administrators」グループする同じ権利を持つアクティブディレクトリActive Directoryの「Domain Admins」グループとして。あなたのコメントでは、Active Directoryの権限について話しているのではなく、Active Directoryで実行されるデフォルトのグループネストについて話しているのです。ローカルユーザーとグループメンバーのコンピューターで。あなたがコメントしたようなことこそ、私が「それはあなたの問題です」と言ったときに意味していたことです。これは簡単に解決できる問題でもあります。

これは「制限されたグループ」ポリシーの対象となる仕事です。

そこで、子ドメイン内のドメイン全体にネストされているローカルの「Administrators」グループの動作を変更したいとします。

子ドメインのルートに GPO を作成してリンクします (実際には、最初にテストコンピューターを含むサブ OU にリンクし、動作していることがわかったら、ドメインのルートにリンクします)。
その GPO で、「コンピューターの設定」を開き、「Windows の設定」、「セキュリティの設定」、「制限されたグループ」の順に開きます。
「制限されたグループ」を右クリックし、「グループの追加」を実行します。
「グループの追加」ダイアログで「参照」をクリックし、「管理者」と入力します（ないユーザー名 (「Domain Admins」など) を入力し、「名前の確認」と「OK」をクリックします。「OK」をクリックして、「グループの追加」ダイアログを閉じます。
「管理者のプロパティ」ダイアログで、「このグループのメンバー」リストボックスの横にある上部の「追加」ボタンをクリックします。
「メンバーの追加」ダイアログで「参照」をクリックし、「Domain Admins」と入力して、「名前の確認」と「OK」をクリックします。「メンバーの追加」ダイアログに、「CHILDDOMAINNETBIOSNAME\Domain Admins」がリストされます。「OK」をクリックします。
「管理者のプロパティ」ダイアログで、上部の「このグループのメンバー」リストボックスの横にある「追加」ボタンをもう一度クリックします。
「メンバーの追加」ダイアログで「参照」をクリックし、子ドメインで「管理者」権限を取得するユーザーを保持するために作成した親ドメインのグローバルグループの名前を入力します。「名前の確認」をクリックする前に、「場所」をクリックし、「場所」ダイアログで親ドメインを選択して「OK」をクリックします。次に、「名前の確認」と「OK」をクリックします。「メンバーの追加」ダイアログに、「PARENTDOMAINNETBIOSNAME\作成したグループ名」がリストされます。「OK」をクリックします。

この GPO がコンピューターに適用されると、ローカルの「Administrators」グループに「CHILDDOMAINNETBIOSNAME\Domain Admins」および「PARENTDOMAINNETBIOSNAME\作成したグループ名」が自動的にネストされます。

Answer