Windows ドメインでの管理者ユーザについて

質問

Windows Server 2008 R2でドメイン環境を構成しており、
複数台のメンバーサーバが所属しております。
そのメンバーサーバには、それぞれ個別の業務用アプリケーションが搭載されております。
今度、アクティブディレクトリ(AD)上のAdministrator(ビルドインユーザ)以外にも、
AD上に作業用のためのAdmin権限を持った作業用ユーザを作成することになりました。
そこでご教示頂きたいことがあります。

AD上のAdministrator(ビルドインユーザ)では、
所属グループがAdministrators、Domain Adminsとなっているため、
ドメイン内のどのメンバーサーバでもAdmin権限で作業が出来ることになるかと思いますが、

(1) 他のメンバーサーバではAdmin権限を利用出来ない、メンバーサーバ単位での
Admin権限を持った作業用ユーザをアクティブディレクトリ上に作成することは可能でしょうか。
他のメンバーサーバ上で稼動するアプリケーション環境に対して、
　　その環境をいじくらせないようにするためです。
(所属するグループをAdministratorsのみにしてDomain Adminsグループに所属させない等)

　　やはり、この場合は、そのメンバーサーバ内のローカルユーザ"Administrator"と同等の
権限を持った作業用ユーザを作成することになるのでしょうか？

以上、ご教示のほど、なにとぞ、宜しくお願い申し上げます。

回答No.2

maesen · ベストアンサー

＞今度、アクティブディレクトリ(AD)上のAdministrator(ビルドインユーザ)以外にも、
＞AD上に作業用のためのAdmin権限を持った作業用ユーザを作成することになりました。

この意味がちょっとわかりません。
これだけを見ると後に書かれている内容と矛盾するので。

Active Directoryのオブジェクトを操作出来る権限という意味のAdministarator権限が必要なのか、
Active Directory上はUsers権限（Domain Users）で、ローカルコンピュータ（メンバサーバ）上ではAdministarators権限が必要なのか。

＞(1) 他のメンバーサーバではAdmin権限を利用出来ない、メンバーサーバ単位でのAdmin権限を持った作業用ユーザをアクティブディレクトリ上に作成することは可能でしょうか。

前述の問いが後者であるならば、単純にActive Directory上で一般ユーザー（Domain Users）として作成したドメインユーザーを、メンバサーバのローカルAdministratorsグループに追加すればいいだけです。

＞(所属するグループをAdministratorsのみにしてDomain Adminsグループに所属させない等)

ドメインコントローラのAdministratorsと、メンバサーバのAdministratorsと、Domain Adminsがごちゃごちゃになっているかなと思います。

お礼

maesen様

早速のご教示、心より感謝申し上げます。

maesen様のご指摘の通り、問いの内容は、後者となります。
AD上のオブジェクト操作の権限がなくても(ドメインでのAdmin権限がなくても)、
メンバーサーバ上ではAdmin権限を持っているユーザを、AD上に登録したいということになります。

質問内容の記載に不備があり、誠に申し訳ございませんでした。

回答No.1

m-take0220

AD上ではDomain Usersに所属するユーザーを作成し、そのユーザーを対象となるメンバーサーバーのAdministratorsグループに所属させるのがいいでしょう。

お礼

m-take0220様

早速のご教示、心より感謝申し上げます。
自分の知識不足により、AD上のユーザを、メンバーサーバ内のローカルグループに
所属させることが出来ることを知りませんでした。
まったくの勉強不足を痛感致しました。