Server 2019 und Windows 1809 Domain Administrator keine Rechnte auf nichts ?

[Brokk]

Hallo,

ich bin grde total erstaunt das sowohl unter Win10 1809 und Server 2019 der eingebaute Administrator (den man beim installieren ein Passwort gibt!); der auch später der Domänenadministrator ist/wird; von MS kastriert wurde.

Problem:
Ich hab einen Server 2019 aufgesetzt. Bei der Installation des Servers wird ja ein PW für den Standard Administrator eingerichtet (lokalerrechnernahme\Administrator).... Danach habe ich AD hinzugefügt und nach einem Neustart den Server zum DC herraufgestuft. Soweit alles gut ...Anmeldung funktioniert aber:

domäne\administrator

Mit dem Domänen Administrator ist nicht mal mehr ein IP Wechsel der Netzwerkkarte möglich.


Kann mir vielleicht jemand Microsofts Idee dahinter erklären?
Wie kann man den Server / die PCs denn ohne diesen Admin bedienen?
Soll man sich einen zweiten Adminisitrator anlegen?

Als Lösung dazu habe ich im Internet nur eine Anleitung zum editieren der lokalen Gruppenrichtlinien gefunden. Dort schaltet man den Admin über die UAC frei.
Nach einem weiteren Neustart geht der Admin dann wieder wie gewohnt; dass kann aber nicht Sinn und Zweck sein oder?

br0kk

 

[Morpheuz]

Da ist eher das Profil nicht richtig angelegt worden.
Es wird auch nicht der lokale Admin zu nem Dom Admin hochgestuft, lokale Konten existieren weiterhin. der Dom Admin wird neu generiert mit den gleichen Anmeldedaten wie der lokale (solange du einen neuen Forest beim heraufstufen zum DC aufbaust).

 

[Morpheuz]

Alter...hab ich gestern gesoffen oder was...
Nachdem du die AD-Domänendienste Rolle installiert hast und den Hochstufungsvorgang durchgehst legst du nen Passwort für den Dom Admin an (im Falle neue Gesamtstruktur (Forest) oder neue Domäne (Tree)) zusätzlich zu nem Wiederherstellungspasswort. Der Dom Admin wird dabei neu angelegt und ist nicht der gleiche wie der lokale Admin.

 

[Brokk]

Danke für die Antworten

Das lokale Konto also "meinpcname\administrator" existiert nach dem raise zum DC nicht mehr. Die Anmeldung damit geht nicht weil dem DC dieser Katalog fehlt (der hat nur den AD Katalog, keinen lokalen mehr)

MS Strategie schein zu sein: Jede Aufgabe hat ihren eigenen Administrator
Den Sinn dahinter kann ich in der Ferne irgentwo erblicken. Wenn ein Admin kompromitiert wird dan gibts andere die den ersetzen bzw. es geht nur eine Sache kaputt und nicht alles.

ABER: Warum wird das schon nach der Installation umgesetzt und wieso wird das nicht beschieben?

lokale Anmeldung an der Maschine (no domain) -> Geht nicht
domain\administrator (Installationsadministrator) -> Kastriert
Neuen Admin anlegen --> In Gruppe Domain Admins schieben --> Vollzugriff ?

Sinn und Zweck ?

 

[Morpheuz]

der lokale user existiert immer noch, nur in der default domain policy ist das anmelden lokaler konten am DC deaktiviert.
auch das der dom admin in irgendeiner weise "kastriert" wird ist bullshit.

setz die kiste neu auf