Acordați permisiunea minimă necesară pentru adăugarea unui computer la un domeniu - fără a utiliza delegarea

Urmând principiul Model administrativ cu privilegii minime Trebuie să creez un grup personalizat care să le ofere membrilor săi permisiunea de a adăuga computere la un domeniu, dar nimic altceva care ar putea prezenta un risc de securitate.

Așa că mi-am creat grupul personalizat în AD (să-l numim „Domain Manager”) și i-am atribuit unui utilizator de domeniu de testare acestui grup.
Apoi am trecut la Group Policy Manager și am creat GPO. În GPO-ul meu am fost Configurare computer > Setări Windows > Setări de securitate > Politici locale > Atribuire drepturi utilizator. și am adăugat grupul meu personalizat la Adăugați stații de lucru la Domeniu politică.

Urmează exact metoda 1 din acest articol: https://www.prajwaldesai.com/allow-domain-user-to-add-computer-to-domain/

Apoi am conectat GPO la o unitate organizatorică cu un singur computer doar pentru testare (și am rulat gpupdate /force pentru bună măsură). Am eliminat acest computer din domeniu și am încercat să-l adaug din nou cu acreditările utilizatorului meu de testare (adăugat la grupul personalizat) - nu a funcționat (a primit o eroare Acces refuzat). Apoi am încercat să fac același lucru, dar să atribui GPO întregului domeniu - din nou aceeași eroare.

Am mai căutat și am găsit această notă de la Microsoft https://docs.microsoft.com/en-us/troubleshoot/windows-server/identity/access-denied-when-joining-computers

Și are sens, deoarece computerul meu de testare a fost anterior în domeniu, așa că ar trebui să resetez parola. Dar nu reușesc să găsesc aceste setări în GPO.

Este posibil să se realizeze acest lucru fără a utiliza delegarea? Îmi lipsește ceva din GPO?

Ok, ați creat o politică GPO pentru asta, dar nu ați aplicat-o corect. Politica trebuie să fie conectată la OU cu controlere de domeniu, cel mai bine să o legați la domeniu. Doar atribuiți acea politică GPO grupului de securitate specific și apoi va funcționa.

Această capacitate necesită de obicei mai mult decât acel drept AD. Ceea ce ar trebui să faceți este să creați un grup și să atribuiți acelui grup permisiunea Creare/Ștergere obiecte computer pentru o OU și permisiunea corespunzătoare/dorită la OU pentru obiectele computer descendente (permisiune de ștergere/modificare/personalizare). Puteți face același lucru pentru containerul Computers, dar este mai organizat să nu utilizați acest lucru și să creați computerele în OU țintă corectă pentru început.