7.10 Rechte vergeben, um Abbilder einzuspielen 

7.10.1 Das Recht erteilen, neue Computerkonten anzulegen 

In einer größeren Organisation werden Sie bestimmte Mitarbeiter berechtigen wollen, neue Computer mit Abbildern zu bespielen. Besonders dann, wenn es mehrere Standorte gibt, muss pro Standort mindestens ein Mitarbeiter das Recht haben, einen Computer neu einzurichten, was mit dem Recht verbunden ist, einen neuen Computer in das Active Directory aufzunehmen, also Computerkonten zu erstellen. Dieses Recht kann auf der Ebene von Subdomänen vergeben werden, aber auch auf der Ebene von Organisationseinheiten.

Um einer Sicherheitsgruppe das Recht zum Erstellen neuer Computerkonten zu geben, starten Sie das Snap-In Active Directory-Benutzer und –Computer, klicken die Domäne mit der rechten Maustaste an und wählen den Befehl Objektverwaltung zuweisen.

Ein Assistent startet und fordert zuerst zur Eingabe der Benutzer und Benutzergruppen auf, denen Rechte gegeben werden sollen. Danach können Sie im Fenster Zuzuweisende Aufgaben direkt die Option Fügt einen Computer einer Domäne hinzu auswählen oder aber über die Option Benutzerdefinierte Aufgaben zum Zuweisen erstellen detaillierter die zuzuweisenden Rechte festlegen.

Hier klicken, um das Bild zu Vergrößern

Wenn Sie jedoch nur für eine Organisationseinheit wie Standort Essen einer Gruppe wie Helpdesk Essen das Recht zum Erstellen von Computerkonten in der OU Standort Essen erteilen möchten, klicken Sie die OU mit der rechten Maustaste an und wählen Objektverwaltung zuweisen. Der Assistent fragt wiederum nach den Benutzern oder Benutzergruppen, denen Sie Administrationsrechte zuweisen wollen. Danach müssen Sie jedoch die Option Benutzerdefinierte Aufgaben zum Zuweisen erstellen auswählen, da die angebotenen allgemeinen Aufgaben nicht den Punkt Computerkonten erstellen einschließen.

Hier klicken, um das Bild zu Vergrößern

Im Folgefenster Active Directory-Objekttyp wählen Sie Zuweisen der Verwaltung von: Diesem Ordner, bestehenden Objekten in diesem Ordner und dem Erstellen neuer Objekte in diesem Ordner. Im nächsten Fenster Berechtigungen wählen Sie als Optionen Allgemein und Erstellen/Löschen der Berechtigungen aus und finden danach im Auswahlkasten Berechtigungen die Optionen "Computer"-Objekte erstellen und "Computer"-Objekte löschen.

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern

Da die Helpdesk-Mitarbeiter dieses Standortes mindestens auch noch Benutzerkonten verwalten sollen, können Sie auch gleich die Optionen Benutzer erstellen und Benutzer löschen aktivieren. Eine Option wie »Exchange-Postfächer erstellen« finden Sie hier nicht. Das Zuweisen von Berechtigungen zur Erstellung von Exchange-Postfächern erfolgt über das Snap-In Exchange System-Manager und über Exchange-spezifische Administrative Gruppen. Dazu mehr in einem späteren Kapitel.

7.10.2 Das Recht »Anmeldung als Stapelverarbeitungsauftrag« zuweisen 

Die Helpdesk-Gruppe bzw. die Helpdesk-Mitarbeiter, die berechtigt sein sollen, neue Computer mit Abbildern zu bespielen, müssen weiterhin auf den RIS-Servern die Berechtigung erhalten, sich als Batch-Job anzumelden. Dieses Recht vergeben Sie, indem Sie auf den RIS-Servern über Start · Ausführen · gpedit.msi den Gruppenrichtlinien-Editor starten, der dann die Richtlinie für den lokalen Computer öffnet. Unter Computerkonfiguration · Windows-Einstellungen · Sicherheitseinstellungen · Lokale Richtlinien · Zuweisen von Benutzerrechten aktivieren Sie die Richtlinie Anmelden als Stapelverarbeitungsauftrag und fügen die Gruppe hinzu, die RIS-Clients aufsetzen können soll.

Hier klicken, um das Bild zu Vergrößern

Diese Vorgehensweise ist methodisch unsauber, doch in unserer Musterdomäne zu Testzwecken akzeptabel. Nach dem Studium der Kapitel 10 bis 12 über Gruppenrichtlinien werden Sie wissen, dass es sinnvoller ist, über das Snap-In Gruppenrichtlinienverwaltung eine Gruppenrichtlinie mit dem Namen Anmelden als Stapelverarbeitungsauftrag zu erstellen und mit dem Container Domain Controllers zu verknüpfen, statt zusätzlich zu den Richtlinien der Domäne in der lokalen Richtlinie eines speziellen Servers zu manipulieren. Zu schnell geht anderenfalls der Überblick darüber verloren, welche Richtlinien wo und wie greifen. Ist RIS nicht auf Domänencontrollern, sondern auf Mitgliedsservern installiert, muss diese Richtlinie entsprechend mit den RIS-Mitgliedsservern verknüpft werden.

Hier klicken, um das Bild zu Vergrößern

7.10.3 Den verschiedenen Supportgruppen Installationsrechte auf bestimmte Abbilder verweigern 

Wenn Sie später mehrere Komplettabbilder auf dem RIS-Server bzw. den RIS-Servern der einzelnen Standorte abgelegt haben, können Sie über die Dateirechte an den unterschiedlichen Steuerdateien riprep.sif manipulieren, welche Benutzergruppen welche Abbilder installieren dürfen. Standardmäßig erhält die Gruppe der Administratoren Vollzugriff und die Gruppe Authentifizierte Benutzer die Rechte Lesen und Ausführen. Sie können nun für eine bestimmte Steuerdatei der Gruppe Authentifizierte Benutzer alle Rechte entziehen und einer bestimmten Helpdesk-Gruppe die Rechte Lesen und Ausführen erteilen. Nur Mitglieder dieser Helpdesk-Gruppe sehen dann im Clientinstallations-Assistenten in der Abbildauswahl dieses Abbild.

Abbilder werden im Verzeichnis \\RIS-Server\RemoteInstall\Setup\<Sprache>\Images erstellt. Auf dieses Verzeichnis und dessen Unterverzeichnisse hat die Gruppe Administratoren Vollzugriffsberechtigungen und die Gruppe Authentifizierte Benutzer die Berechtigungen Lesen, Ausführen, Ordnerinhalt auflisten und Lesen. Auch diese Berechtigungen müssen angepasst werden, wenn nicht jeder Domänenbenutzer, sondern nur spezielle Administratorgruppen RIS-Installationen durchführen sollen.