Rättigheter för domän-konton

Beror väl också på vilket sorts företag som du jobbar på och vilken nivå ni ska lägga er på. Ska ni certifiera er mot någon standard eller? Tänker att ni inte kanske behöver ta i från tårna med säkerheten heller, det måste vara smidigt att jobba också.

Jag kan tycka att ett vanligt user konto räcker för det "dagliga arbetet" du gör och att just din user får vara lokaladmin på PC:s och så ett domänadmin konto som du använder när du ska in och ändra inställningar på servrarna.

Finns flera sätt att hantera detta, lite beroende på miljö och krav. Ett sätt att hantera upplägget kan vara (för dig som administratör):
1 - Standardkonto - samma behörigheter som vem som helst. Vanligtvis här du har e-postkonto osv.
2 - Adminkonto - En typ av eleveringskonto, kan exempelvis vara medlem lokala administratörsgruppen på era servers och klienter. Detta konto bör inte tillåtas delegering, dvs att all autentisering behöver göras av en DC (inga cached credentials).
3 - Lokalt konto på era klienter för lokal elevering. Förslagsvis med LAPS. Detta gör att du kan elevera dig på enskilda klienter, utan att klienten (nödvändigtvis) har åtkomst till en DC.

Har sett varianter där man har egna konton för inloggning på DC's separat. Också sett att dessa kan också konfigureras så dessa inte kan användas för inloggning på en dator/RDP, utan endast för elevering av processer.
Att skapa ett disaster recoverykonto med undantag är vanligt, som sista utväg om något generalfel inträffar.

Balansgång mellan säkerhet och smidighet.
/D