Mali problem u AD

[jaksa]

Kako resiti sledeci problem, u W2K ili Windows 2003 AD:

Imamo npr 3 korisnika (a, b, c), i 3 racunara (1, 2, 3). Svi su clanovi aktivnog direktorijuma.
Korisnici su obicni user-i u AD.

Ono sto meni treba je da, korisnik a ima veca prava na racunaru 1, a prava obicnog usera na racunarima 2 i 3.
Korisnik b treba da ima veca prava na racunaru 2 a korisnik c na racunaru 3.

Prevedeno na jednostavniji jezik, potrebno mi je da korisnik samo na svom PC na radnom mestu ima skoro administratorska prava, ali i da ne bude nista vise od usera u celom AD.
DA bi to bilo moguce treba uspostaviti logicku vezu konkretnog usera i konkretnog racunara. (ovo i jeste u stvari najveci problem)

Prava treba da budu definisana definisana kroz grupnu polisu u okviru AD.

Nacin na koji bih to uradio mi se cini komplikovan, ali opet, ne vidim jednostavniji, pa zato sve ovo i pisem, ne bi li nasao jednostavnije resenje, jer ovo moje , za 100-tinak usera je jaako komplikovano.

Kreirao bih OU za svakog usera, znaci u ovom slucaju OUa ciji je clan user a, OUb (user b) i OUc (user c), kao i OU1 (racunar 1), OU2 (racunar 2) i OU3 (racunar 3), kao i GPO1, GPO2 i GPO3 koje bi definisala "veca" prava OUa-c na koja bi se odnosila na OU1-3.

Ako je ovo glupost, jer nisam probao, onda bih resio ovako:

Kreirao bih OU1 za user a i racunar 1, OU2 za user b i racunar 2 i OU3 za user c i racunar 3.
Kreirao bih GPO koja definise prava usera u okviru OU i primenio GPO na pojedinacne OU

Sta mislite ima li smisla ista od ovoga?

 

[Miroslav]

eh bre a mrzelo te ranije da ti objanim na mircu 🙂

desni klik na my computer, manage. connet to another conputer. konektuj se na kompjuter korisnika A. Local users and groups, pa groups. dva puta levi klik na "administrators". Add... nadji korisnika A preko searcha, pa ga dodaj.

E sad malo objasnjenje. Korisnika A clana AD-a i grupe Users si stavio u security grupu Administrators, cime on ima prava na lokalnom racunaru da radi sta hoce. Cim ode van, on ima prava korisnika iz domena...

probaj pa javi da li radi

 

[jaksa]

Sad trenutno, do sutra, to ne mogu da probam.
Ali, cini mi se da ti meni pokusavas da kazes da treba korisnika korisnika A da stavium u grupu lokalnih administratora? Tj administratora na lokalnoj masini? Ako je to na sta si mislio, taj korisnik kada se loguje na AD opet je obican user na tom PC.
Uostalom probacu sutra pa napisati da li radi.

Pozdrav!

 

[Dandy]

Hm... ovako na prvi pogled, ovo sto je Miroslav rekao bi trebalo da radi.

 

[jaksa]

Na prvi pogled, a i u praksi, to resenje koje Miroslav sugerise, ne radi u AD.
Radi kada se korisnik loguje logalno a ne na domain.

Znaci, meni je potrebno, u AD da se omoguci cilj, 1 korisnik samo na svojoj masini, da ima prava kakva treba da ima a na svim ostalim prava obicnog usera.
Problem je, ponavljam, napraviti vezu izmedju konkretnog korisnika i konkretnog racunara.

 

[Miroslav]

nemoguce da ne radi, pa to mi radi na preko 100 masina kod mene...

pazi, tebi je bitno da imas korisnika u AD-u, i on nema nikakav lokalni nalog! e sad, njega, znaci evropa\Pera.Peric stavljas u computer1\Administrators grupu. taj korisnik kada se loguje na svoj racunar, bira Evropa kao domen a ne computer1 (logon to: ).

znaci jos jednom step by step, za probu kreiraj novog korisnika Pera.peric

na tvom komjuteru, koji se zove Jaksa, stavi Evropa\Pera.Peric u grupu Administrators (preko Computer Managment konzole). Zatim se na tvom kompjuteru uloguj kao:

Username: Pera.Peric
Password: ************
Logon to: Evropa

idi u windows direktorijum i napravi neki folder... to je to 🙂

 

[jaksa]

Nije mi bilo tesko i kreirao sam peru 🙂

Radi, sad radi. Sledi analiza gde sam gresio.

Hvala.

 

[Miroslav]

pa mora da radi kad baja kaze 😀 da nisi imao i te iste korisnike kreirane lokalno pa si njih mozda dodao u administrators grupu? user moze biti samo jedan, a stavljas ga u security grupe lokalno (na svakoj masini posebno) i globalno.