„Prawidłowy” sposób programowego dołączenia komputera z systemem Windows 7 do domeny

1

Jaka jest preferowana metoda programowego dołączenia komputera z systemem Windows 7 do domeny?

Chcę to napisać, aby po uruchomieniu nowo obrazowanego komputera dołączało ono do domeny. (Nie chcę używać do tego Sysprep, ponieważ istnieją inne kontrole, które chcę uruchomić w tym samym czasie).

O ile widzę, mogę użyć NetDom lub dodać komputer w Powershell.

Oba te teoretycznie oznaczają, że muszę zainstalować „dodatkowe rzeczy” na obrazie - albo RSAT, aby użyć netdom (lub mógłbym ręcznie skopiować tylko to polecenie), albo cmdlety AD do dodania przez komputer.

Czy ktoś ma takie doświadczenie lub który jest „lepszy” sposób? Naprawdę nie chcę pozostawiać użytkownikom końcowym narzędzi administracyjnych na swoich komputerach.

Z góry dziękuję,

Ben

powershell active-directory Ben
źródło
Można to ustawić tak, aby pliki wykonywalne tych narzędzi po uruchomieniu były ustawione tak, aby uzyskiwać dostęp tylko przez administratora lokalnego lub administratora domeny. Użytkownicy będą mieli narzędzia, ale nie będą mogli ich używać.
Bart Silverstrim
Ukrywanie „narzędzi administracyjnych” przed użytkownikami to bezpieczeństwo przez zaciemnienie; i po prostu pobiorą narzędzia z Internetu, jeśli chcą. Najlepiej mieć odpowiednio zabezpieczoną sieć, niż mieć nadzieję, że użytkownicy nie wymyślą, jak to zepsuć.
Chris S
Dobry punkt dobrze wykonany!
Ben

Odpowiedzi:

5

NETDOM.EXE to wszystko czego potrzebujesz. Po prostu skopiuję go i skończę z tym.

Użytkownik nie ma niebezpieczeństwa, że ​​ma NETDOM.EXE. Ta sama funkcjonalność, którą udostępnia NETDOM, jest dostępna w GUI. Dopóki użytkownik nie ma poświadczenia domeny z uprawnieniami do dołączania / odłączania komputerów od domeny, nie może zaszkodzić reklamie za pomocą narzędzia NETDOM. Podobnie, jeśli użytkownik nie jest lokalnym administratorem komputera, nie może użyć NETDOM, aby przekonać komputer, że jest odłączony od domeny tak samo, jak za pomocą narzędzi GUI.

Tylko upewnij się, że nie pozostawiasz poświadczeń na komputerze, po obrazowaniu, które mogłyby dać użytkownikowi uprzywilejowany dostęp do AD.

Evan Anderson
źródło
netdomjest domyślnie dołączony do systemu Windows 7 (w wersjach biznesowych). Również tylko notatka; domyślnie każdy użytkownik domeny może dołączyć komputer do domeny. Wskazówki dotyczące wyłączania tego: social.technet.microsoft.com/Forums/en/winserverDS/thread/…
Chris S
1
@Chris S: Dobre wezwanie do włączenia NETDOM - nie zadałem sobie trudu, aby szukać, ponieważ jestem tak przyzwyczajony do kopiowania go na obrazy XP jako część stosu plików narzędziowych, które ostatecznie instaluję na większości obrazów XP. Dotyczy: każdego użytkownika dołączającego do domeny do komputera - użytkownik nadal potrzebowałby uprawnień administratora na komputerze lokalnym (które, miejmy nadzieję, nie mają), aby wpłynąć na członkostwo w domenie komputera.
Evan Anderson