tschakalaka
Goto Top

Windows Netzwerk - vorhandene Arbeitsstationen via DC scannen und lokale Administratoren auslesen

Hallo zusammen,

hat evtl. jemand eine Info wie ich ein Windows Netzwerk scannen kann, um auf den vorhandenen Arbeitsstationen im Netzwerk die jeweiligen lokalen Administratoren auslesen kann.

Ein Hinweis. Wahrscheinlich wird es Probleme/Berechtigung bezgl. WMI geben. Hierfür benötige ich auch ncoh eine Abhilfe.

Es würde auch schon reichen, hierfür eine Info zu bekommen wonach ich da genau suchen muss.

Hintergrund ist das Verhindern, das die Benutzer selbstständig Iokale Installationen durchführen

Danke im voraus

Content-Key: 583971

Url: https://administrator.de/contentid/583971

Ausgedruckt am: 28.03.2024 um 10:03 Uhr

Mitglied: DerWoWusste
DerWoWusste 02.07.2020 aktualisiert um 13:50:30 Uhr
Goto Top
Hi.

Ich empfehle, keinen Scan von einem DC aus (Pull) zu machen, da du so nur die PCs erwischt, die eingeschaltet sind und auch die benötigten Ports offen haben. Mach lieber einen Push, also ein auslesen am Client, welcher dann in eine Logdatei auf einen Server schreibt.

Get-LocalGroupMember -group administratoren
if ( $? -eq $false ) {
    out-file \\server\logging$\adminaccounts\!$env:computername.txt
}
Get-LocalGroupMember -Group Administratoren | sls Administrator,Domänen-Admins -NotMatch | out-file \\server\logging$\adminaccounts\$env:computername.txt
Siehe auch Administrative Accounts in der Domäne

Du kannst dieses Powershellskript über einen immediate scheduled Task verteilen, so dass es beim nächsten GPO-Refresh sofort läuft.
Mitglied: Tschakalaka
Tschakalaka 02.07.2020 um 14:37:03 Uhr
Goto Top
Hi,

Klasse und Hut ab, funktioniert.

Hier vielleicht ein kleiner Zusatz/Vervollständigung zur Verteilung per immediate scheduled Task:

https://4sysops.com/archives/run-powershell-scripts-as-immediate-schedul ...


Danke nochmal,

Gruß
Mark
Mitglied: jsysde
jsysde 02.07.2020 um 20:35:17 Uhr
Goto Top
N'Abend.

Zitat von @Tschakalaka:
[...]Hintergrund ist das Verhindern, das die Benutzer selbstständig Iokale Installationen durchführen
Kurzer Nachsatz hierzu: Das greift zu kurz - es gibt etliche Anwendungen (wie z.B. Firefox oder Chrome), die sich prima ohne Adminrechte "installieren" lassen. Die Setups schreiben dann halt nicht nach %programfiles%, sondern nach %localappdata% oder %appdata%, aber die Installation klappt dennoch (steht halt nur dem User zur Verfügung, der das Setup ausgeführt hat).

Das User keine Admin-Rechte benötigen oder gar haben sollten, ist schon mal ein guter Schritt. Du musst dir aber darüber im klaren sein, dass du damit eben nicht zu 100% verhindern kannst, dass trotzdem "potentiell unerwünschte Applikationen" auf dem Rechner landen.

Cheers,
jsysde