Jak nakonfigurovat účet počítačové služby pro připojení k doméně

Ve výchozím nastavení se mohou standardní uživatelé připojit k počítači k doméně. To je něco, co nechceš. Správci také používají svůj účet správce domény k připojení počítače k ​​doméně. I když je to nejjednodušší, protože má všechna oprávnění, není to vhodné. Místo toho musíte vytvořit nový účet s omezenými oprávněními a použít jej k připojení počítače k ​​doméně. V tomto článku se dozvíte, jak nakonfigurovat počítačový účet pro připojení k doméně.

Připojte počítač k doméně

Připojení počítače k ​​doméně je skvělé, takže se stanou její součástí. Počítač k doméně však mohou připojit nejen administrátoři domény. Standardní uživatelský účet může přidat počítač do domény také, a jakmile tak učiní, automaticky se stane vlastníkem počítače. To jim dává možnost převzít kontrolu nad počítačem a udělat ze sebe místního správce v několika jednoduchých krocích.

Ve výchozím nastavení může každý ověřený uživatel přidat do domény až 10 počítačů. Přidat pracovní stanici do domény Objekt zásad skupiny (GPO) určuje, kdo se může připojit k počítačům. Ve výchozím nastavení je toto nastaveno na Authenticated Users. Maximální počet počítačů, které může každý uživatel přidat, je řízen nastavením ms-DS-MachineAccountQuota, jehož výchozí hodnota je 10.

Když se uživatel připojí k počítači do domény, automaticky získá určitá oprávnění k objektu počítače, jako je GenericAll. Chcete-li se vyhnout udělení těchto oprávnění běžným uživatelům, doporučujeme upravit toto nastavení a použít vyhrazený účet speciálně pro připojení počítačů k doméně.

Doporučené čtení:Jak se připojit Windows 11 PC k doméně Windows Server

Poznámka:Uživatelé mohou do domény přidat až 10 počítačů se svým přihlašovacím jménem, ​​pokud mají v doméně uživatelský účet. Toto je nastaveno ve výchozím nastavení a doporučujeme to změnit podle tohoto článku.

Krok 1. Odeberte ověřené uživatele ze zásad skupiny

Odeberte všechny uživatele a skupiny ze zásad skupiny:

1. Přihlaste se doŘadič domény
2. StartSpráva zásad skupiny
3. Klepněte pravým tlačítkem myši naVýchozí zásady řadičů domény
4. VybratUpravit

5. Jděte na cestuKonfigurace počítače > Zásady > Nastavení systému Windows > Nastavení zabezpečení > Přiřazení uživatelských práv
6. Poklepejte na zásaduPřidejte pracovní stanice do domény

7. Odeberte všechny uživatele a skupiny
8. KlikněteOK

9. Ověřte, žePřidejte pracovní stanice do doménynastavení zásad jeprázdný

Nastavte hodnotu atributu kvóty účtu počítače na0v AD ​​podle následujících kroků:

1. StartUživatelé a počítače služby Active Directory
2. Klikněte naPohled
3. UmožnitPokročilé funkce

4. Klepněte pravým tlačítkem myši naDoména
5. KlikněteVlastnosti

6. Vyberte atributms-DS-MachineAccountQuota
7. KlikněteUpravit

8. Nastavte hodnotu na0
9. KlikněteOK

10. Ověřte, žems-DS-MachineAccountQuotaatribut ukazuje hodnotu0

Předpokládejme, že chcete udělat totéž s PowerShell.

Získejte hodnotu atributu ms-DS-MachineAccountQuota.

Get-ADDomain | Get-ADObject -Properties ms-DS-MachineAccountQuota 

Nastavte ms-DS-MachineAccountQuota na0.

Set-ADdomain -Identity contoso.com -Replace @{"ms-DS-MachineAccountQuota"="0"}

Krok 3. Vytvořte vyhrazený účet

Vytvořte vyhrazený servisní účet, který budete používat k připojení počítačů k doméně:

1. StartUživatelé a počítače služby Active Directory
2. Vytvořte si vyhrazený servisní účet se silným heslem

3. Ujistěte se, žeheslo nikdy nevypršíje vybrána možnost účtu

Krok 4. Udělte oprávnění účtu

Udělte účtu služby požadovaná oprávnění pro přidávání, odebírání a opětovné připojení počítače k ​​doméně:

1. StartUživatelé a počítače služby Active Directory
2. Klepněte pravým tlačítkem myši na výchozíPočítačekontejner
3. VybratDelegát řízení…

4. KlikněteDalší

5. Vyberte účet službysvc-domainjoin
6. KlikněteDalší

7. VybratVytvořte vlastní úkol, který chcete delegovat
8. KlikněteDalší

9. VybratPouze následující objekty ve složce
10. UmožnitPočítačové objektyze seznamu
11. UmožnitVytvořte vybrané objekty v této složce
12. UmožnitSmazat vybrané objekty v této složce
13. KlikněteDalší

14. VybratPlná kontrola(jakmile na něj kliknete, vše se vybere)

Poznámka:VyberemePlná kontrolaprotože chceme účet služby použít nejen k připojení počítače k ​​doméně, ale také k opětovnému připojení, odebrání a přejmenování počítače.

15. Ověřte si tovšechnoje vybráno
16. KlikněteDalší

17. KlikněteDokončit

Krok 5. Ověřte účet počítače pro připojení k doméně

Jakmile je vše nastaveno, je nezbytné změny otestovat.

Poznámka:Správci mohou připojit počítač k doméně, protože mají všechna oprávnění. Nedoporučuje se však používat tyto účty a měli byste použít účet služby, který jste vytvořili, protože má minimální oprávnění.

Přihlaste se k počítači a připojte počítač k doméně pomocí standardního uživatelského účtu. Objeví se chyba.

Použijte účet služby k připojení počítače k ​​doméně a bude úspěšně fungovat.

To je vše!

Závěr

Naučili jste se, jak nakonfigurovat počítačový účet pro připojení k doméně. Nejprve omezte uživatelům připojení počítače k ​​doméně. Poté nastavte vyhrazený servisní účet a použijte tento účet k připojení počítačů k doméně. Zajistěte, aby si toho byl vědom celý tým a aby již nepoužíval své účty správce.

Líbil se vám tento článek? Také by se vám mohlo líbit obnovení hesla účtu KRBTGT. Nezapomeňte nás sledovat a sdílet tento článek.