> > "<Domain>\GG_%COMPUTERNAME%_Admins" hinzu (nicht über "..." suchen...).
> - ich verliere mein simples Reporting, wenn mich jemand fragt: Wer ist
> lokaler Admin, dann habe ich bei meiner 1zu1 Liste schon alles beisammen.
Das ist wohl wahr - aber nachdem es bei uns keine "lokalen Admins pro
PC" gibt, sondern nur "global", haben wir das ausschließlich über
Restricted Groups gelöst. Eine Domänengruppe, die lokaler Admin wird,
und jeder, der's braucht, kommt da direkt oder verschachtelt rein.
dsquery group -samid WS_Admins | dsget group -members -expand | dsget
user -samid -fn -ln -c 2>nul
und fertig ist mein Reporting ;-)
Die Ursprungsfrage hier ist ja, daß er für jeden PC quasi individuell
definieren will, wer lokaler Admin wird. Und ob ich dann eine lange
Liste von Group Items oder eine lange Liste mit Gruppen habe, ist im
Ergebnis fast der gleiche Aufwand. Von der Performance her spielt es
auch keine Rolle - hier auf ner Test-VM hat's mit 100 Items (Filter 1x
wahr, 99x falsch) 0,8 Sekunden gedauert, mit 2 Items waren's "nur noch"
0,6 Sekunden.
Ich find halt Delegation und Gruppen charmant, aber letztlich muß es
jeder selber entscheiden - er muß es ja dann auch betreiben <g>
NO THEY ARE NOT EVIL, if you know what you are doing:
Good or bad GPOs?
Wenn meine Antwort hilfreich war, freue ich mich über eine Bewertung! If my answer was helpful, I'm glad about a rating!
