¿Cómo administro Windows como Linux / Unix: derechos administrativos por membresía de grupo sin accidentes y sin compartir la contraseña de administrador?

Estoy haciendo algunos cambios fundamentales en un entorno Windows Server 2003/2008. En el lado de Unix, mis restricciones de seguridad son simples:

1. Los usuarios que deberían tener derechos de administrador están en un grupo especial ("rueda" o similar).
2. Cuando esos usuarios inician sesión en esas máquinas, todavía no tienen derechos de administrador, hasta que ejecutan explícitamente un comando con esos derechos de administrador ("comando sudo" o "su").
3. Incluso cuando ejecutan el comando con "su" (algo así como "runas"), aún necesitan ingresar una contraseña: la suya.

En este sistema, puedo controlar quién tiene privilegios de administrador (por membresía de grupo), evitar que ejecuten accidentalmente algo con privilegios de administrador por accidente (al requerir "su" o "sudo"), y nunca revelar un "Administrador" principal (es decir "root"), ya que se les pide la suya.

¿Cómo hago el equivalente en Windows Server? Las opciones tal como las veo son:

1. Agregue usuarios a la cuenta de administradores locales: Pero todo lo que hacen es como administrador, con riesgo de error.
2. Exíjalos que hagan "administrador de runas": Pero luego deben conocer la contraseña de administrador, que no quiero compartir.

¿Hay alguna solución en la que pueda simultáneamente: controlar quién tiene acceso por membresía de grupo; evite que accidentalmente hagan cosas dañinas al requerir una contraseña separada; ¿les impide saber la contraseña de administrador?

En primer lugar, solo los administradores deben tener acceso de administrador, por lo que, a menos que haya una ENORME (no puedo pensar en una buena) razón por la que lo necesitan, entonces debe dejarse en manos de los administradores; Hay raras ocasiones en que un usuario normal obtiene privilegios de administrador, e incluso entonces, por lo general, soy escéptico sobre por qué lo necesitan.

En segundo lugar, puede lograr lo que quiere hacer utilizando la Membresía de grupo en Windows. No dijo que estaba usando Active Directory, así que no estoy seguro si tiene un dominio y lo está haciendo, pero puede crear Grupos de seguridad y agregarles cuentas de usuario individuales. Mira aquí. No agregaría usuarios al grupo de administradores locales en el servidor individualmente, ya que esto se volverá complicado y será difícil hacer un seguimiento en el futuro, y le generará mucho dolor de cabeza y posibles problemas de seguridad. Lo que haría, como se mencionó anteriormente, es crear un Grupo de seguridad y agregar los miembros a los que desea tener acceso de administrador a este grupo. Crearía dos cuentas de usuario para sus usuarios; uno para inicio de sesión regular y luego una segunda cuenta que solo se usó para acciones elevadas. Agregaría la cuenta "superior / privilegiada" de los usuarios al Grupo de seguridad, luego, puede colocar este grupo en una membresía de grupo local elevada en el servidor real, por ejemplo, Usuarios avanzados. Esto les permitirá realizar muchas funciones sin ser administradores.

En cuanto a Ejecutar como administrador, no tiene que hacer eso todo el tiempo. La mejor manera de hacer que las personas ejecuten las cosas sin conocer la contraseña del administrador, o de cualquier administrador, es usar Shift + clic derecho y luego seleccionar Ejecutar como usuario diferente, o hacer clic derecho y ejecutar como administrador. Primero querrá crear un usuario separado para ellos que tenga derechos más altos o derechos elevados como se mencionó anteriormente (este usuario elevado se agregaría nuevamente al Grupo de Seguridad como se mencionó anteriormente), ya que este usuario podría usarse para ejecutar cosas que requieren elevación todo el tiempo mientras está conectado con una cuenta de usuario normal / estándar. Ver mi captura de pantalla:

Eso debería encargarse de lo que quieres hacer en cuanto a ejecutar cosas como administrador. Una nota final que podría agregar es mantener UAC encendido. Si hace esto, los usuarios deberán escribir su contraseña (elevada) y no una contraseña de administrador para las cosas que hacen en el servidor. Es complicado cuando tienes que escribirlo mucho, pero por seguridad vale la pena.

Deje su cuenta estándar como 'estándar'. Créelos una segunda cuenta privilegiada y agréguela a los diversos grupos administrativos. Use 'runas' con la cuenta privilegiada. (Puede que le resulte útil deshabilitar los inicios de sesión interactivos con la cuenta de administrador, pero de nuevo, esto probablemente se volverá molesto).

En Server 2003, necesitaría usar la Run As...opción para ejecutar como una cuenta con privilegios administrativos.

Con Server 2008+, utiliza UAC y / o la Run as Administratoropción que sugirió. Esto no requiere conocer la contraseña de la cuenta administrativa [local]; cualquier credencial administrativa servirá.

Por lo tanto, agregaría sus cuentas a los grupos administrativos locales, o mejor, desde un punto de vista de seguridad, crearía cuentas administrativas separadas y las agregaría a los grupos administrativos locales. Luego, cuando necesiten ejecutar algo con privilegios administrativos, UAC solicitará credenciales administrativas y / o usarán la opción Run As.../ Run as Administrator.