使用域用戶權限|安裝軟件

轉載自：http://blog.chinaunix.net/uid-7528962-id-3156433.html

如何讓普通的域用戶有安裝軟件的權限？如今給客戶部署了活動目錄，客戶要求 普通的域用戶也能夠本身安裝軟件。不知道如何設置，但願你們幫幫忙！我告訴客戶的作法以下：不知道可行性如何？

一、在域中新建一個域帳戶好比setup設置密碼永不過時用戶不能更改密碼，添加到域管理員組中。
二、修改域組策略計算機配置-windows設置---安全設置---本地策略---用戶權限分配-找到 拒絕本地登錄 這個策略：啓用這個策略 將新建的用戶如setup添加到裏面。
三、域用戶要安裝軟件的時候：右鍵點擊須要安裝的軟件選擇：ruan as （即 運行方式）
選擇 下列用戶：輸入 新建的用戶名密碼 （如 域名\setup）安裝便可。

回答：根據您的描述，我對這個問題的理解是：您須要讓普通域用戶能夠在域中的客戶機上有安裝軟件的權限。普通用戶之因此不能安裝軟件，通常是缺乏對註冊表的修改權限以及對安裝目標文件夾的修改權限。只有少數組成員擁有該權限，如本地管理員組和Power User組的成員，有的軟件必需要本地管理員組的成員才能安裝。

因此，最直接的辦法是將域用戶賬號加到客戶機的本地管理員組或者是Power Users組，絕大多數用戶會這樣去作，也是推薦的方法。

若是此方法不符合客戶的安全規定，也有相對複雜一些的作法，極少數用戶會用到：
1．記錄安裝這些軟件以前的註冊表和文件夾狀態您看到的文章來自活動目錄

2．管理員安裝這些軟件
3．完成後，肯定這些軟件會修改哪些註冊表鍵值和文件夾。
4．而後在每一個註冊表鍵值和文件夾上賦予普通用戶相應的權限
……

除此以外，對於某些軟件：
能夠將軟件使用組策略分發給計算機自動安裝，用戶沒必要手動安裝，但僅限於某些軟件，須要通過測試才能使用此方法。這裏是分發.msi格式安裝文件的一個參考：http://support.microsoft.com/kb/887405/en-us

還有不少方法，但都須要根據要安裝的軟件和客戶的策略是否容許。

您的思路是可行的，但須要進行一些補充。由於讓每一個用戶都知道域管理員的密碼是極不安全的作法，即便您拒絕本地登陸。（就安全性而言, 將域用戶加到他的工做機的本地管理員組會更好。）

若是但願使用run as的方法，建議編寫管理員安裝的run as登陸腳本，而後使用script encoder對腳本進行編碼加密
如何使用run as請參考：http://support.microsoft.com/?id=294676

下載並使用Script Encoder請參考：
http://www.microsoft.com/downloads/details.aspx?FamilyId=E7877F67-C447-4873-B1B0-21F0626A6329&displaylang=en