Windowsの権限について

質問

Windowsの権限がややこしく困り果てています。

一般的にドメインに参加させていないPCはローカル又は、WorkGroup
のPCとなり、ユーザーは自分一人で使う分には、Admninのグループに
所属させておけばよいのですが、

ドメインに参加させた場合が問題ですよね？
と、いいますのは、ドメインに参加させると、いきなり、Toolなど
インストールできなくなったなどということがあると思います。

これは、つまり、ドメインに参加したユーザーにはインストール権限が無い
ということになると思いますが、ドメインに参加したユーザーにもインストール
できる権限をあたえるには、
(1)ドメインのAdministorator権限を与える(
(2)DomainAdminのグループにいれる。
(3)ローカルPCのadmin権限でPCに入り直し、ローカルadminでインストール
　を行うということが考えられると思います。

(1)(2)は通常、一般のユーザーにドメインのadmin権限など与えることはしないと
思うので、却下として(3)の場合です。

この(3)（ローカルのadmin権限を与える）は、ADのサーバー上から設定できるものなのでしょうか？
ＡＤのサーバー上から、ローカルのadmin権限を与えることができない場合は、どの様にすれば
よいのでしょうか？

それから、
ADのサーバー側でユーザーを作成すると、作成されたユーザーは、DomainUsersグループ
に所属することになると思うのですが、このDomainUsersグループというものは、どの様な権限
を持つのでしょう？自分のＰＣにダウンロードしてきたToolなどインストールできない権限なわけですよね？

回答No.1

e3tatsu · ベストアンサー

(1)と(2)は当然論外です。
(3)については「ローカルPCのadmin権限でPCに入り直し」なんて面倒な操作は必要ないです。
ドメイン参加操作の際に、ネットワークIDウィザードを使ってドメイン参加させることでウィザードの中で利用者のドメインユーザアカウントに対し、必要な「ローカルPCに対する権限(AdministratorsやPower Users等)」を与えられます。

Domain Usersそのものには特別な権限はなかったはずですが、Domain Usersは、ドメイン参加したPCのローカルグループである「Users」のメンバに自動的に登録されます。
これによってドメインアカウントを持つ利用者は、自分のIDでドメインに参加している全PCに一般ユーザ権限でログオンできるようになっています。

>ＡＤのサーバー上から、ローカルのadmin権限を与えることができない場合は、どの様にすれば
>よいのでしょうか？
グループポリシーで適切な設定を行えば、ドメイン管理者は自端末の「コンピュータの管理」から対象PCのグループメンバをリモートで変更が可能です。

失礼ですが質問者様は、Windowsのグループや権限、Active Directory、グループポリシーなどWindowsクライアント管理に関する知識が圧倒的に不足しています。
何をどうするか決断される前にまずはWindowsクライアント管理に関する知識を身につけた方がよろしいかと。

補足

>Windowsクライアント管理に関する知識を身につけた方がよろしい>かと。

確かにおっしゃる通りです。ＭＣＰ用の赤本など読んでいるのですが、クライアント管理（権限）が全く分からないのです。。。

何か、分かりやすい書籍やサイトなど参考になるようなものはないでしょうか？