Protegendo o Grupo Domain Admins utilizando Restricted Groups

Visão geral

Neste tutorial iremos mostrar como proteger o grupo Domain Admins utilizando a configuração de GPO Restricted Groups. Quando utilizamos o Restricted Groups, qualquer usuário que seja adicionado no grupo Domain Admins sem ser por meio da configuração de GPO Restricted Groups será removido automaticamente. Essa política de remoção inclui o usuário administrator.

Solução

No Domain Controller:

1. Ir em Start / Programs / Administrative Tools / Domain Controller Security Policy.

2. Na tela Default Domain Controller Security Settings clique com o botão direito do mouse em Restricted Groups e depois em Add Group…
   

3. Na tela Add Group no campo Group digite Domain Admins e clique em OK.
   

4. Na tela Domain Admins Properties em Members of this group clique em Add.
   

5. Na tela Add Member clique em Browse…
   

6. Na tela Select Users or Groups caixa Enter the object names to select digite Administrator clique em Check Names e depois em OK.
   

7. Na tela Add Member clique em Ok.

8. De volta na tela Domain Admins Properties observe na caixa Members of this group o usuário DOMINIO\Administrator. Clique em Apply e depois em OK.
   

9. Observe na tela Default Domain Controller Security Settings no painel direito o grupo Domain Admins.
   

10. Ir em Start / Run digite gpupdate /force e clique em OK.

OBS: Qualquer usuário existente no grupo Domain Admins será removido se não for explicitamente adicionado através da GPO Restricted Groups.

Conclusão

Neste tutorial mostramos como proteger o group Domain Admins utilizando a configuração de GPO Restricted Groups.