Linux / UnixのようにWindowsを管理するにはどうすればよいですか。事故や管理者パスワードを共有することなく、グループメンバーシップによる管理権限を取得するにはどうすればよいですか。

Windows Server 2003/2008環境にいくつかの基本的な変更を加えています。Unix側では、私のセキュリティ制約は単純です。

1. 管理者権限が必要なユーザーは、特別なグループ（「ホイール」など）に属しています。
2. これらのユーザーがこれらのマシンにログオンしても、それらの管理者権限でコマンドを明示的に実行するまで（「sudoコマンド」または「su」）、それらのユーザーにはまだ管理者権限がありません。
3. 「su」（「runas」のようなもの）でコマンドを実行する場合でも、パスワードを入力する必要があります。

このシステムでは、（グループメンバーシップによって）管理者特権を持つユーザーを制御し、誤って管理者特権で何かを誤って実行すること（「su」または「sudo」を要求すること）を防ぎ、コアな「管理者」（つまり、 「root」）パスワード。パスワードを要求されるためです。

Windows Serverで同等のことをするにはどうすればよいですか？私が見るオプションは次のとおりです。

1. ローカル管理者アカウントにユーザーを追加します。ただし、ユーザーが行うことはすべて管理者であり、エラーのリスクがあります。
2. 「runas Administrator」を実行するように彼らに要求する：しかし、彼らは、私が共有したくない管理者パスワードを知っている必要があります。

私が同時にできる解決策はありますか：グループメンバーシップによってアクセス権を持つユーザーを制御します。別のパスワードを要求することにより、彼らが誤って損害を与えることを防ぎます。管理者のパスワードを知らないようにしますか？

まず、管理者のみが管理者アクセス権を取得する必要があるため、巨大な（私は良いものとは思えない）理由が必要でない限り、それは管理者に任せるべきです。通常のユーザーが管理者特権を取得することはまれなケースですが、それでも、なぜそれが必要なのかについて私は通常懐疑的です。

次に、Windowsのグループメンバーシップを使用して、やりたいことを実行できます。Active Directoryを使用しているとは言わなかったので、ドメインがあり、それを行っているかどうかはわかりませんが、セキュリティグループを作成して、個別のユーザーアカウントを追加できます。 こちらをご覧ください。 サーバーのローカル管理者グループにユーザーを個別に追加しないでください。これを行うと、煩雑になり、今後の追跡が難しくなり、あなたにとって頭痛の種となり、潜在的なセキュリティ問題が発生します。上記のように、セキュリティグループを作成し、このグループへの管理者アクセス権を付与するメンバーを追加します。ユーザー用に2つのユーザーアカウントを作成します。1つは通常のログイン用、もう1つは昇格されたアクションにのみ使用される2番目のアカウント ユーザーの「上位/特権」アカウントをセキュリティグループに追加すると、このグループを実際のサーバーの昇格されたローカルグループメンバーシップに配置できます。たとえば、Power Usersなどです。これにより、管理者でなくても多くの機能を実行できます。

管理者として実行する限り、常にそうする必要はありません。管理者または管理者のパスワードを知らずに実行する最良の方法は、Shift +右クリックして[別のユーザーとして実行]または右クリックして[管理者として実行]を選択することです。最初に、上記のように高い権限または昇格された権限を持つ別のユーザーを作成する必要があります（このユーザーは、前述のようにセキュリティグループに再度追加されます）。このユーザーを使用して、通常/標準のユーザーアカウントでログインしている間は常に昇格が必要です。私のスクリーンショットを見てください：

これで、管理者として実行している限り、実行したいことが処理されます。最後に、UACをオンにしておくことをお勧めします。これを行うと、ユーザーはサーバー上で行うことの管理者パスワードではなく、（昇格された）パスワードを入力する必要があります。何度も入力しなければならないのは面倒ですが、セキュリティ上は価値があります。

標準アカウントは「標準」のままにします。特権のある2番目のアカウントを作成し、それをさまざまな管理グループに追加します。特権アカウントで「runas」を使用します。（管理者アカウントで対話型ログオンを無効にすると便利な場合がありますが、それでもまた、これはおそらく迷惑になります）。

Server 2003では、Run As...管理者権限を持つアカウントとして実行するには、オプションを使用する必要があります。

Server 2008以降では、UACやRun as Administrator提案したオプションを使用します。これには、 [ローカル]管理アカウントのパスワードを知っている必要はありません。管理者の資格情報があれば十分です。

したがって、セキュリティの観点から、それらのアカウントをローカル管理グループに追加するか、より適切な方法として、個別の管理アカウントを作成してローカル管理グループに追加します。次に、管理者権限で何かを実行する必要がある場合、UACは管理者の資格情報を要求するか、Run As.../ Run as Administratorオプションを使用します。