He configurado una pequeña red de dominio Server 2008 R2 en casa para poder aprender y practicar su administración.
Digamos que quiero crear una cuenta de usuario temporal para permitir que un auditor acceda a todos los archivos en las estaciones de trabajo y servidores dentro del dominio, pero no quiero otorgar permisos completos de administrador, solo acceso de solo lectura a todos los archivos.
En segundo lugar, me gustaría permitir que el auditor realice consultas WMI según sea necesario.
¿Cómo debo hacer esto? ¿Debo crear un grupo para el usuario y generar un GPO que se aplique a ese grupo? ¿Qué propiedades necesitaría establecer?
¡Gracias por cualquier consejo!
EDITAR
Asigné la cuenta del auditor a los operadores de respaldo pero descubrí que no podía acceder a los recursos compartidos administrativos, por ejemplo. Se podía acceder a "\MyPC.testserver.com\c$\" con la cuenta de administrador, pero no con la del Operador de copia de seguridad.
Leí sobre el grupo integrado Operadores de respaldo aquí:http://technet.microsoft.com/en-us/library/cc756898%28v=ws.10%29.aspx
Indica que
Los miembros de este grupo pueden realizar copias de seguridad y restaurar todos los archivos encontroladores de dominioen el dominio, independientemente de sus propios permisos individuales sobre esos archivos. Los operadores de respaldo también pueden iniciar sesión en los controladores de dominio y cerrarlos...
¿Existe alguna manera de modificar una cuenta de administrador para que tenga acceso de solo lectura a las estaciones de trabajo?
Respuesta1
Siempre creo nuevos grupos de AD para auditores y similares. Hace que sea más fácil encontrarlos, aplicar cualquier GPO al grupo, habilitar/deshabilitar, etc.
Agregue ese grupo al grupo Operador de respaldo integrado en AD. Un miembro del grupo Operadores de respaldo puede leer archivos y directorios a los que el usuario normalmente no tendría acceso. La membresía en este grupo permite a los usuarios abrir cualquier archivo con fines de "copia de seguridad".
Esto les permitirá leer cualquier archivo en una máquina conectada a AD sin ser administrador.