كيف يمكن منع Admdinistrator من استخدام AdminPack

جربت تعدل في إعدادات المستخدم Administrator و تخليه يعمل Login بس على السيرفر؟

بتوقع ممكن تشتغل هي الطريقة لأنه لما راح يعمل Authentication من أي مكان تاني السيرفر راح يمنعه لأن ماعنده صلاحية يدخل لأي مكان تاني غير السيرفر...

SalehRam كتب:

جربت تعدل في إعدادات المستخدم Administrator و تخليه يعمل Login بس على السيرفر؟

بتوقع ممكن تشتغل هي الطريقة لأنه لما راح يعمل Authentication من أي مكان تاني السيرفر راح يمنعه لأن ماعنده صلاحية يدخل لأي مكان تاني غير السيرفر...

أنظر لكى تكون فى الصورة معى وتكون الدنيا واضحة تماماً هذه خطتى لهذا المستخدم تماماً :

1 - هذا المستخدم هو Domain Admin لكى يستطيع التعامل مع كل أجهزة المؤسسة بكامل الصلاحيات التى أملكها

2 - هذا المستخدم لا يستطيع الولوج للسيرفر وهو جالس أمامه أى من أمام الـ Case وبإستخدام الـ KeyBoard الخاصة به ( Deny Logon Locally )

3 - هذا المستخدم غير قابل للولوج للسيرفر بإستخدام الـ Remote Desktop أو بإستخدام الـ Terminal Service

وكل هذا تم تنفيذه والحمد لله

لم يتبقى سوا أن أغلق عليه عمل أى تعديلات على الـ Server بإستخدام الـ Admin Pack

فهل من فكرة :( جلست أكثر من 6 ساعات اليوم أجرب فى حيل وأفكار ولكنها لم تكن للأسف مجدية بالقدر الكافى

Ah.K.EL-Saman كتب:

أنظر لكى تكون فى الصورة معى وتكون الدنيا واضحة تماماً هذه خطتى لهذا المستخدم تماماً :

1 - هذا المستخدم هو Domain Admin لكى يستطيع التعامل مع كل أجهزة المؤسسة بكامل الصلاحيات التى أملكها

2 - هذا المستخدم لا يستطيع الولوج للسيرفر وهو جالس أمامه أى من أمام الـ Case وبإستخدام الـ KeyBoard الخاصة به ( Deny Logon Locally )

3 - هذا المستخدم غير قابل للولوج للسيرفر بإستخدام الـ Remote Desktop أو بإستخدام الـ Terminal Service

وكل هذا تم تنفيذه والحمد لله

لم يتبقى سوا أن أغلق عليه عمل أى تعديلات على الـ Server بإستخدام الـ Admin Pack

فهل من فكرة :( جلست أكثر من 6 ساعات اليوم أجرب فى حيل وأفكار ولكنها لم تكن للأسف مجدية بالقدر الكافى

أهلاً بك

يا عزيزي .. أنت تسير باتجاهٍ معاكس

الأصل في إدارة الأنظمة المنع على كل شيء باستثناء ما ترغب أنت بالسماح به

الـ Domain Admins أعلى مستوى من الصلاحيات يمكن أن تمنحه

وبالمناسبة الـ Admin Pack ليست الوسيلة الوحيدة اللتي قد يتمكن بها هذا المستخدم من التعديل في الـ Active Directory

الحل أو المنهجية المتبعة إذن هي إعطاء الصلاحيات والتفويضات المطلوبة لهذا المستخدم لكي يقوم بعمله من دون منحه أعلى مستوى ممكن من الصلاحيات

تستطيع أن تمنحه ما تشاء من الصلاحيات المختلفة على جميع الأجهزة في الدومين من غير وضعه في الـ Domain Admins

تحياتي ،،

Yassean كتب:

وبالمناسبة الـ Admin Pack ليست الوسيلة الوحيدة اللتي قد يتمكن بها هذا المستخدم من التعديل في الـ Active Directory

هذا صحيح ولكن إغلاق معظم المنافذ إن لم يكن كلها أسهل من التفكير فى غلق الـ Domain Admin عليه للأسف فأنا فعليا قمت بحصر معظم المنافذ وأستطيع إغلاقها إلا هذا المنفذ

Yassean كتب:

الحل أو المنهجية المتبعة إذن هي إعطاء الصلاحيات والتفويضات المطلوبة لهذا المستخدم لكي يقوم بعمله من دون منحه أعلى مستوى ممكن من الصلاحيات

تستطيع أن تمنحه ما تشاء من الصلاحيات المختلفة على جميع الأجهزة في الدومين من غير وضعه في الـ Domain Admins

فعلا أنا أحاول أن أسير عكس الاتجاه وأظن أنه صعب أقرب للمستحيل

أشكرك جزيلا أخى الكريم على ردك

وعلى العموم أنا أوقفت البحث فى هذه النقطة