Active Directory: Hinzufügen von Computern durch Benutzer verhindern

Neulich wurde ich gefragt wie es denn Möglich sei Benutzer (Domänen-Benutzer) daran zu hindern Computer in die AD aufzunehmen.

Für alle die es nicht wissen:

1. Jeder Domänen-Benutzer kann bis zu 10 Computer dem AD hinzufügen
2. Computerkonten werden automaisch im Container „Computers“ hinterlegt (Bild 1)
3. Das zuständige Attribut ist ms-DS-MachineAccountQuota
4. Der Wert kann über den ADSI-Editor geändert werden
5. Konfiguration in DDCP (Default Domain Controllers Policy) möglich

Zunächst einmal gehe ich her und lenke den Ort für neue Computerkonten auf eine OU um. Dazu verwende ich nicht die Power Shell sondern die „gute alte“ CMD :) Umlenken will ich  CN=Computers zu der OU=New_AD_Computer. Wichtig ist die Angabe des vollständigen DN der Ziel-OU. Zudem muss DFL (Domain Functional Level) mindesten Windows Server 2003 sein.

1. CMD öffnen

2. redircmp "ou=New_AD_Computer,ou=Sichel IT,dc=sichel,dc=loc"

3. „Umleitung Erfolgreich“ erscheint in der CMD (Bild 2)

Diese Schritte sind für das eigentliche Ziel nicht erforderlich, allerdings führe ich den Befehl an der Stelle gerne aus, da es ja um Computerkonten geht.

Schauen wir uns das Eigentliche Thema an. Um mein Ziel zu erreichen gibt es mehrere Wege, zum einen über den ADSI-Editor (Active Directory Service Interface), zum anderem über die Gruppenrichtlinienverwaltung.

Weg 1 – ADSI-Editor

1. Den ADSI-Editor öffnen
2. Verbindung herstellen –> Standard so belassen und mit OK bestätigen (Bild 3)
3. Via rechtsklick in die Eigenschaften der Domäne wechseln (Bild 4)
4. Im folgenden Fenster den Wert „ms-DS-MachineAccountQuota“ suchen (Bild 5)
5. Den Wert von 10 auf 0 setzen und mit OK  und Übernehmen bestätigen (Bild 6)
6. Fertig

Dieser einfache Weg führt dazu das kein Benutzer mehr Computer der Domäne hinzufügen kann. Bild 7 zeigt das ein Domänen-Benutzer angegeben worden ist, und Bild 8 die entsprechende Fehlermeldung. Mit dem Administrator hingegen funktioniert es natürlich sofort, Bild 9.