Запретить доступ администратора домена к моему ПК

Question

Мой рабочий компьютер является частью домена нашей компании. Если я правильно понимаю, это дает администратору нашего домена возможность изменять или контролировать некоторые вещи, например принудительное автоматическое обновление Windows.

По ряду причин, таких как доступ к ресурсам домена, ПК должен быть подключен к домену (а не к локальной рабочей группе). Например. без этого я не могу позволить Windows Services работать под пользователем домена (afaik).

Поскольку этот ПК используется для разработки, я хочу иметь полный контроль над ним, например (временно) не разрешать обновления.

Можно ли запретить любой доступ другим (доменным) пользователям, например администратору домена?

Answer 1

Это невозможно, администратор домена всегда имеет полный доступ к каждой машине в домене (в любом случае, в среде Windows). Администратор домена может предоставить локальному администратору вашей учетной записи доступ к компьютеру, который вы используете, и если ваш домен НЕ использует объекты групповой политики (GPO ) для принудительного применения настроек, вы сможете изменить такие вещи, как поведение обновления.

Альтернативой является (очень приятно, всегда быть милым с вашими администраторами) попросить администратора домена запретить использование объекта групповой политики на вашем ПК или применить только объекты групповой политики, которые не влияют на параметры, которые вы хотите настроить, или (если вы действительно очень приятно с ним) заставить его создать для вас индивидуальный объект групповой политики, адаптированный к вашим потребностям.

Но в ответ на ваш главный вопрос: Нет, невозможно запретить администратору домена доступ к вашему ПК, так как это обойдёт именно то, для чего предназначены домены, запросит разрешение на изменение поведения вашего ПК и надеется, что ваш домен Администратор соглашается.

Answer 2

Способ обойти это - перенести вашу среду на виртуальную машину, после чего вы получите полный контроль над администратором домена или, по крайней мере, с помощью локальных системных ресурсов :-)