Я по профессии администратор Linux, и на моей новой работе я управляю серверами Windows.
Я пытаюсь создать базовый образ Windows Server 2012, используя упаковщик. В рамках подготовки виртуальная машина должна быть подключена к активному каталогу с помощью сценария. Очевидно, я не хочу вводить свой личный пароль в скрипт.
Можно ли создать в Active Directory пользователя, который имеет права привязать машину к AD, но не может выполнять другие действия (для соответствия)?
Обычно каждый пользователь Active Directory может добавить до 10 учетных записей компьютеров в домен без необходимости быть администратором домена; однако это поведение может быть изменено политиками домена, поэтому это может быть не ваш случай; и даже если бы это было так, вы столкнулись бы с проблемой, как только ту же учетную запись пользователя необходимо было использовать для добавления 11-го компьютера.
Правильный способ сделать это - предоставить этой учетной записи пользователя специальное разрешение «Создание объектов компьютера» в контейнере «Компьютеры» в Active Directory (где по умолчанию добавляются новые компьютеры) и / или в любом другом подразделении, где новые компьютеры могут быть добавленными (хотя немного сложнее добавить их где-нибудь в каталоге за пределами контейнера "Компьютеры" по умолчанию).
https://technet.microsoft.com/en-us/library/cc780195(v=ws.10).aspx
Конечно, создайте свою учетную запись, не присоединяйтесь к какой-либо группе и не помещайте ее где-нибудь в AD, где она не получит никаких прав, назначенных групповой политикой. По умолчанию прошедшие проверку подлинности пользователи могут присоединять компьютеры к домену. Если это было изменено, вам необходимо убедиться, что вашей учетной записи предоставлено право «Добавить рабочие станции в домен» через групповую политику. Это в Конфигурация компьютера \ Параметры Windows \ Параметры безопасности \ Локальные политики \ Назначение прав пользователя. Вы также можете сделать это, указав разрешения учетной записи в подразделении, в котором вы хотите разместить компьютер. Для этого предоставьте учетной записи разрешение на создание объектов компьютера в подразделении, которое вы хотите использовать.