Como faço para gerenciar o Windows como Linux / Unix: direitos administrativos por associação ao grupo sem acidentes e sem compartilhar a senha do administrador?

Estou fazendo algumas alterações fundamentais em um ambiente Windows Server 2003/2008. No lado do Unix, minhas restrições de segurança são simples:

1. Os usuários que devem ter direitos de administrador estão em um grupo especial ("roda" ou similar).
2. Quando esses usuários efetuam logon nessas máquinas, ainda não têm direitos de administrador, até que executem explicitamente um comando com esses direitos de administrador ("comando sudo" ou "su").
3. Mesmo quando eles executam o comando com "su" (mais ou menos como "runas"), eles ainda precisam digitar uma senha: própria.

Neste sistema, posso controlar quem possui privilégios de administrador (por associação ao grupo), impedir que eles executem acidentalmente algo com privilégios de administrador por acidente (exigindo "su" ou "sudo") e nunca revelar um "administrador" principal (por exemplo, senha "root"), pois são solicitadas por elas próprias.

Como faço o equivalente no Windows Server? As opções que eu vejo são:

1. Adicionar usuário à conta de administradores locais: mas tudo o que eles fazem é como administrador, correndo o risco de erro.
2. Exija que eles façam "runas Administrator": Mas eles precisam saber a senha do administrador, da qual não quero compartilhar.

Existe alguma solução em que eu possa simultaneamente: controlar quem tem acesso por membros do grupo; evite que eles causem danos acidentalmente, exigindo uma senha separada; impedi-los de conhecer a senha do administrador?

Primeiro, apenas os administradores devem ter acesso de administrador, a menos que haja uma enorme (não consigo pensar em uma boa) razão pela qual eles precisam, então isso deve ser deixado para os administradores; há ocasiões raras em que um usuário comum obtém privilégios de administrador e, mesmo assim, geralmente sou cético sobre o motivo de precisar dele.

Segundo, você pode realizar o que deseja fazer usando a Associação ao Grupo no Windows. Você não disse que estava usando o Active Directory; portanto, não tenho certeza se você tem um domínio, mas pode criar Grupos de Segurança e adicionar contas de usuário individuais a eles. Veja aqui. Eu não adicionaria usuários ao grupo de administradores locais no servidor individualmente, pois isso ficará confuso e difícil de acompanhar no futuro, e isso trará muita dor de cabeça para você e possíveis problemas de segurança. O que eu faria, como mencionado acima, é criar um grupo de segurança e adicionar os membros aos quais você deseja ter acesso de administrador a esse grupo. Você criaria duas contas de usuário para seus usuários; uma para logon regular e, em seguida, uma segunda conta que foi usada apenas para ações elevadas. Você adicionaria a conta "superior / privilegiada" aos usuários ao Grupo de Segurança. Em seguida, pode colocar esse grupo em uma associação elevada de grupo local no servidor real, como Usuários Avançados, por exemplo. Isso permitirá que eles executem muitas funções sem serem administradores.

No que diz respeito a Executar como administrador, você não precisa fazer isso o tempo todo. A melhor maneira de fazer com que as pessoas executem as coisas sem saber a senha do administrador ou de qualquer administrador é usar Shift + clique com o botão direito do mouse e selecione Executar como usuário diferente ou clique com o botão direito do mouse e Executar como administrador. Primeiro, você deseja criar um usuário separado para eles com direitos mais altos ou direitos elevados, como mencionado acima (esse usuário elevado seria adicionado ao Grupo de Segurança novamente como mencionado acima), pois esse usuário poderia ser usado para executar coisas que exigem elevação o tempo todo, com uma conta de usuário normal / padrão. Veja minha captura de tela:

Isso deve cuidar do que você deseja fazer, na medida em que executa tarefas como administrador. Uma observação final que devo acrescentar é manter o UAC ativado. Se você fizer isso, os usuários deverão digitar sua senha (elevada) e não uma senha de administrador para as coisas que eles fazem no servidor. É uma dor quando você tem que digitar muito, mas por segurança vale a pena.

Deixe a conta padrão como 'padrão'. Crie para eles uma segunda conta privilegiada e adicione-a aos vários grupos administrativos. Use 'runas' com a conta privilegiada. (Você pode achar útil desativar logons interativos com a conta de administrador, mas, novamente - isso provavelmente será irritante).

No Server 2003, você precisaria usar a Run As...opção para executar como uma conta com privilégios administrativos.

Com o Server 2008+, você usa o UAC e / ou a Run as Administratoropção sugerida. Isso não requer o conhecimento da senha da conta administrativa [local] - qualquer credencial administrativa será necessária.

Portanto, você adicionaria suas contas aos grupos administrativos locais, ou melhor, do ponto de vista da segurança, criaria contas administrativas separadas e as adicionaria aos grupos administrativos locais. Então, quando eles precisam executar algo com privilégios administrativos, o UAC solicitará credenciais administrativas e / ou eles usariam a opção Run As.../ Run as Administrator.