home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบ >> Windows 10

เพิ่มผู้ใช้เข้ากำลัง Local Administrators ผ่าน Group Policy (GPO)

ใช้ Group Policy (GPO) เพื่อเพิ่มผู้ใช้/กลุ่ม Active Directory เข้าไปในกลุ่ม Administrators ท้องถิ่นบนคอมพิวเตอร์ในโดเมน วิธีนี้เหมาะสำหรับมอบสิทธิ์ Admin ให้ทีม Helpdesk, Developer หรือบัญชีพิเศษ โดยควบคุมได้แบบรวมศูนย์

กลุ่ม Local Administrators ในโดเมน AD

เมื่อ Join โดเมน: Domain Admins จะถูกเพิ่มเข้า Local Administrators อัตโนมัติ Microsoft แนะนำแยกสิทธิ์:

  • Domain Admins – ใช้เฉพาะ Domain Controllers
  • Server Admins – จัดการ Member Servers
  • Workstation Admins – จัดการ Workstations
  • Domain Users – ผู้ใช้ทั่วไป ไม่มีสิทธิ์ Admin

แนะนำสร้างกลุ่ม Security Group แยก (เช่น munWKSAdmins) เพื่อจัดการสมาชิกง่ายขึ้น

วิธี 1: Group Policy Preferences (GPP) – แนะนำ

  1. สร้าง GPO ใหม่ (เช่น AddLocalAdmins) ลิงก์ไปที่ OU ที่มีคอมพิวเตอร์
  2. Edit GPO > Computer Configuration > Preferences > Control Panel Settings > Local Users and Groups
  3. New > Local Group
  4. Action: Update (สำคัญ!)
  5. Group Name: Administrators (Built-in) (ใช้ SID: S-1-5-32-544)
  6. Add > เลือกกลุ่ม Domain (เช่น munWKSAdmins)
  7. ติ๊ก Delete all member users และ Delete all member groups (เพื่อลบสมาชิกที่เพิ่มด้วยมือ)
  8. OK > gpupdate /force บนเครื่อง Client

ใช้ Item-level Targeting (แท็บ Common) เพื่อกรอง เช่น ใช้กับ Windows 10 เท่านั้น หรือexclude ชื่อเครื่องที่มี "adm"

วิธี 2: Restricted Groups (วิธีเก่า ความยืดหยุ่นน้อยกว่า)

  1. Edit GPO > Computer Configuration > Policies > Security Settings > Restricted Groups
  2. Add Group > พิมพ์ Administrators
  3. ใน Members of this group > Add > ใส่กลุ่ม Domain
  4. วิธีนี้จะ ลบสมาชิกอื่นทั้งหมด ทุกครั้งที่ Apply Policy

เพิ่มผู้ใช้รายเดียวบนเครื่องเฉพาะ (Per-Computer)

ใน GPP เดียวกัน สร้าง Entry ใหม่สำหรับ Administrators:

  • Action: Update
  • Group Name: Administrators (Built-in)
  • Members: Add > amuller (User เฉพาะ)
  • แท็บ Common > Item-level Targeting > Targeting > New Item > Computer Name = mun-dev-wks24

ลำดับการประมวลผล (Order) สำคัญ: GPP ที่มี Delete all member จะรันก่อน (Order 1) ตามด้วย Entry เฉพาะเครื่อง (Order 2) เพื่อไม่ให้ถูกลบ

เคล็ดลับ

  • ใช้กลุ่ม Domain Security Group แทน User รายตัว เพื่อจัดการง่าย
  • ตรวจสอบด้วย gpresult /h report.html หรือ net localgroup Administrators
  • หลีกเลี่ยงการเพิ่ม Domain Admins เข้า Workstations โดยตรง