關於LAN中域管理員權限管理

pater

大家好：
　　　對於WIN2003 Server的域管理員權限管理，有很多問題，請各位指教一下：
1。對於域管理員的密碼，只要一個人知道。其它作業人員，利用其它的帳號，進行域加入。怎樣做，權限委派的功能好嗎。
2。對於所有Server，不采用管理員帳號和權限，設定怎樣帳號。對系統作業沒有問題。
3。請問一下，大家對於大企業中，server的管理員帳號和權限，怎樣管理。

nickren

1/将帐号加入到domain admins即可
2/可使用一般帐号登入，对系统无影响
3/安全性较好的企业一般都是直接使用administrator帐号管理，建另外的帐号比较少
   在网络安全要求较高的企业最高权限是不赋与administrator的，多半会另建帐号。
一般做好内外网过滤，内部域在安全性上是没什么问题的。

kingstar

一些建议:

1.domain admin组人员名单要少,四个以下甚好.

2.administrator改名,设为相当复杂的密码.相对防护一下.

3.权限的委派也相当重要。做的权限的分层次保护。

4、服务器的管理为，设置特别帐号登陆，包括远程控制连接，统一在OU里设置和分别设置均可。比如一个Domain admin+几个指定普通+本地管理员。

5，密码常改，普通用户登陆，使用RUNAS提升。。。

。。。。尽量做到安全

pater

感謝各位的建議：
不過我現在的做法：
為了不讓administrator的管理權限，讓所有人都有。除非了主管，其它工程師，采用委派權限的帳號。再將此帳號加入本地administrator及遠程管理組。在AD上，開啟交互式登陸。就好了。對於OU及加入域的權限 ，全部采用委派。這樣提高了系統的安全性。防止不良人，進行危險操作。對相應的DHCP及DNS，加入權限組，就好了。但domain admin。最好不要加入，它可以改變administrator的密碼，這樣的話，就不安全了。