![域管理员组拒绝访问 d: 驱动器](https://linux22.com/image/556132/%E5%9F%9F%E7%AE%A1%E7%90%86%E5%91%98%E7%BB%84%E6%8B%92%E7%BB%9D%E8%AE%BF%E9%97%AE%20d%3A%20%E9%A9%B1%E5%8A%A8%E5%99%A8.png)
CORP-AD
我在 Windows 2008R2 上运行了一个全新的 Active Directory ( )。我有一个域控制器 ( PDC01
) 和一个成员服务器 ( ME01
)。
成员服务器有一个C:
和一个D:
驱动器。
我们的标准构建的一部分是从驱动器的根目录中删除所有权限,D:
但以下权限除外:
系统(完全控制) 管理员(完全控制)
我创建了一个新的域用户ADMIN01
并授予其Domain Admins
组成员身份。
Domain Admins
是成员服务器本地组的成员Administrators
。
ME01
当我以域用户身份登录(通过 RDP)到成员服务器时,ADMIN01
该用户无法访问该D:
驱动器。然后,我尝试将Domain Admins
具有完全控制权的组添加到驱动器的根目录D:
,但我的ADMIN01
用户仍然无法访问该D:
驱动器:
ME01
如果我以本地机器管理员身份登录,我就可以毫无困难地访问该D:
驱动器。
我发现这个问题或多或少描述了同样的问题:
答案正确地表明这是一个 UAC 权限提升问题,但我对这句话感到困惑,特别是粗体部分:
您可以通过组策略修改此行为但请记住,默认设置是故意这样设置的- 您想要更改的具体策略是“用户帐户控制:在管理员批准模式下运行所有管理员” - 您可以在此 MSDN 文章中找到有关如何执行此操作的详细信息。
这是否意味着“用户帐户控制: 在管理员批准模式下运行所有管理员”不应该被禁用吗?
如果启用了此功能,我不会收到带有“继续”按钮 + 盾牌图标的 UAC 质询,我只是被拒绝访问驱动器。这是正常的吗?
答案1
答案2
看起来这实际上不是一个 UAC 问题,而是有人弄乱了驱动器级别的权限。
我将以本地管理员身份登录,然后比较在 C:和 D:驱动器上设置的权限,我敢打赌域管理员要么已被删除,要么已被明确拒绝。
答案3
听起来好像有人同意了行政人员没有管理员的完全控制权。
答案4
在更改组成员身份并将用户添加到域管理员组后,您是否真的完全以用户 ADMIN01 的身份注销?
您多次提到远程桌面,也许用户的会话刚刚断开,并且组成员身份更改直到用户完全注销并重新登录后才会生效(使用 Windows 也可以同时打开两个会话)。
ADMIN01 用户是否有权访问通常只有域管理员才能访问的其他管理工具?这将排除它是驱动器上的 ACL 问题还是组成员身份/权限问题。