Gestion des comptes d'utilisateur sur les périphériques avant l'adhésion au domaine

Seront-ils classés sous une OU ? Peuvent-ils être fusionnés avec les utilisateurs du domaine qui seront créés ?

Les comptes locaux ne reviennent jamais dans AD, en fait, vous ne pourrez pas accéder à quoi que ce soit concernant le côté utilisateurs des GPOs lorsque vous êtes connecté en tant qu'utilisateur local. Les paramètres des GPO côté ordinateur seront toujours appliqués.

Les utilisateurs de l'administration locale sur tous les appareils membres peuvent-ils être normalisés avec un nom d'utilisateur et un mot de passe identiques, etc.

Cela a un peu changé au cours des dernières années, vous aviez l'habitude de pouvoir imposer un mot de passe administrateur relativement facilement à travers les GPOs, mais depuis la mise à jour MS14-025 . Vous ne pouvez plus faire respecter les mots de passe sans un shim tiers.

Quelles sont les meilleures pratiques pour les comptes administrateurs nécessairement créés lors de l'installation du système d'exploitation sur des appareils neufs ?

Dans notre environnement, nous avons défini un mot de passe administrateur complexe, principalement pour les techniciens qui doivent résoudre les problèmes sur le terrain. Certaines personnes désactivent complètement le compte administrateur et se fient aux groupes restreints AD.

Dans quelle mesure les administrateurs locaux peuvent-ils utiliser leur privilège d'administrateur pour des choses restreintes par les GPO (par exemple, si je limite l'installation de logiciels sur tous les appareils, ceux-ci peuvent-ils être installés lorsqu'ils sont exécutés en tant qu'administrateur local) ?

Une fois que vous donnez à quelqu'un un compte d'administrateur sur une boîte, il n'y a rien qu'il ne puisse faire (en fonction de son niveau de compétence). En tant qu'administrateur, même si des GPO sont appliquées qui peuvent empêcher certaines choses, il est toujours possible de les contourner si la personne le souhaite vraiment. Se référer à pourquoi vous ne devez pas vous exécuter en tant qu'administrateur .