在AD域中计算机WinServer用普通的域账户zhangsan@contoso.com加的contoso域，将WinServer系统提升成域控制器后，这个普通用户zhangsan对此域控是否会有某些特殊权限？如果有，如何清理掉这个用户账户的权限？

Question

工程师您好：

我有一个问题请教一下，

在AD域中计算机WinServer用普通的域账户zhangsan@contoso.com加的contoso域，将WinServer系统提升成域控制器后，这个普通用户zhangsan对此域控是否会有某些特殊权限？如果有，如何清理掉这个用户账户的权限？

感谢您的答复

谢谢

Answer 1

您好，

当您将一台Windows Server提升为域控制器时，使用的普通域账户不会自动获得任何特殊权限。域控制器的管理权限通常由域管理员组中的成员来管理。

不过，为了确保安全，您可以检查并清理zhangsan账户的权限：

检查组成员身份：

打开“Active Directory 用户和计算机”管理工具。

查找并选择zhangsan账户。

查看该账户的“成员”选项卡，确保它没有被添加到任何具有高权限的组（如Domain Admins、Enterprise Admins等）。

检查委派权限：

在“Active Directory 用户和计算机”中，右键点击域控制器对象，选择“属性”。

在“安全”选项卡中，点击“高级”按钮。

检查zhangsan账户是否被授予了任何特殊权限，如果有，删除这些权限。

审核策略：

使用“组策略管理”工具，检查是否有任何策略特别针对zhangsan账户进行配置。

确保没有策略赋予zhangsan账户额外的权限。

---

如果答案对您有帮助，请点击“接受答案”并为其点赞。