Как определить, почему даже учетная запись администратора заблокирована?

Question

Я унаследовал сеть компьютеров, и некоторые из них используются людьми, которым нужна полная блокировка. Предыдущие технические специалисты до меня сделали что-то, из-за чего у учетной записи Local Administrator практически не было привилегий. Мне удалось создать нового пользователя-администратора (для тестирования, который называется asdf), но он по-прежнему заблокирован от таких вещей, как смена локальных принтеров (добавление, изменение, удаление), смена аппаратных драйверов или даже установка программного обеспечения.

Я проверил gpedit.msc и secpol.msc чтобы попытаться найти параметры, которые изменились, но ни один из них, похоже, не влияет на это поведение. Я могу запустить приведенный ниже скрипт Powershell, и он возвращает True (имеется в виду, что я работаю от имени администратора): ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal‌​.WindowsBuiltInRole] "Administrator")

Я в растерянности. Он находится в домене, но запускается из Samba 3, поэтому в него не загружаются политики. Это также не в сети прямо сейчас, так как я пытаюсь войти в систему с локальными учетными записями администратора. Что я могу попробовать дальше?

Answer 1

Я использовал оснастку GPEdit, но не нашел ничего странного. Но кто-то напомнил мне о RSOP или Результирующем наборе политик. Читая документацию Microsoft, я наткнулся на страницу с инструментами и нашел команду gpresult . Проверяя справку, я увидел, что если вы добавите ключ /r , он выдаст отчет о действующих политиках. Я выполнил эту команду и обнаружил, что администраторы были добавлены в группу «Гости»!

Я подтвердил это, зайдя в «Управление компьютером» (щелкните правой кнопкой мыши на « Мой компьютер» и выберите « Управление»), затем « Локальные пользователи» и выберите « Группы». Оказавшись там, я открыл группу « Гости » и посмотрел на ее участников - там были « Гость» (пользователь) и « Прошедшие проверку» (группа)! Я удалил группу «Прошедшие проверку», вышел из системы и снова вошел в нее, и я смог внести необходимые изменения для обслуживания этой системы.