Как добавить пользователя в группу администраторов windows 10

Управление группой локальных администраторов на устройствах, присоединенных к Microsoft Entra

Чтобы управлять устройством Windows, необходимо быть участником группы локальных администраторов. В рамках процесса присоединения к Microsoft Entra идентификатор Microsoft Entra обновляет членство в этой группе на устройстве. Вы можете настроить обновление членства в соответствии с вашими бизнес-требованиями. Обновление членства полезно, если необходимо, к примеру, чтобы специалисты службы поддержки выполняли задачи, для которых требуются права администратора на устройстве.

В этой статье объясняется, как работает обновление членства локальных администраторов и как его можно настроить во время присоединения к Microsoft Entra. Содержимое этой статьи не относится к гибридным устройствам, присоединенным к Microsoft Entra.

Как это работает

Во время присоединения к Microsoft Entra мы добавим следующие субъекты безопасности в группу локальных администраторов на устройстве:

роль глобального администратора Microsoft Entra;
Роль локального Администратор istrator устройства Microsoft Entra Joina
пользователь, выполняющий присоединение к Microsoft Entra.

Это выполняется только во время операции соединения. Если администратор вносит изменения после этого момента, им потребуется обновить членство в группе на устройстве.

Добавив роли Microsoft Entra в группу локальных администраторов, вы можете обновить пользователей, которые могут управлять устройством в любое время в идентификаторе Microsoft Entra, не изменяя ничего на устройстве. Идентификатор Microsoft Entra также добавляет роль локального Администратор istrator microsoft Entra Joined Device Local Администратор istrator в группу локальных администраторов для поддержки принципа наименьших привилегий (PoLP). Помимо пользователей с ролью Global Администратор istrator, вы также можете включить пользователей, которым назначена только роль локального Администратор istrator microsoft Entra Joined Device Для управления устройством.

Управление ролью Глобального Администратор istrator

Сведения о просмотре и обновлении членства в роли глобального Администратор istrator см. в следующих статье:

Просмотр всех членов роли администратора в идентификаторе Microsoft Entra
Назначение пользователю ролей администратора в идентификаторе Microsoft Entra

Управление ролью локального Администратор istrator устройства Microsoft Entra Joined

Вы можете управлять ролью локального Администратор istrator устройства Microsoft Entra Joined device из параметров устройства.

Войдите в Центр администрирования Microsoft Entra как минимум привилегированную роль Администратор istrator.
Перейдите к параметрам устройств удостоверений >>всех устройств.>
Выберите «Управление дополнительными локальными администраторами» на всех устройствах, присоединенных к Microsoft Entra.
Нажмите Добавить назначения, а затем выберите других администраторов, которых нужно добавить, и нажмите кнопку Добавить.

Чтобы изменить роль локального Администратор istrator устройства Microsoft Entra, настройте дополнительных локальных администраторов на всех устройствах, присоединенных к Microsoft Entra.

Для этого параметра требуются лицензии Microsoft Entra ID P1 или P2.

Присоединенные к Microsoft Entra локальные Администратор istratorы microsoft Entra назначаются всем устройствам, присоединенным к Microsoft Entra. Эту роль нельзя область определенному набору устройств. Обновление роли локального Администратор istrator устройства Microsoft Entra joined device не обязательно оказывает непосредственное влияние на затронутых пользователей. На устройствах, где пользователь уже вошел в систему, повышение привилегий происходит, когда выполняются оба следующих условия:

Срок действия до 4 часов для идентификатора Microsoft Entra для выдачи нового первичного маркера обновления с соответствующими привилегиями.
Пользователь вышел и снова вошел в систему (а не просто заблокировал и разблокировал ее), чтобы обновить свой профиль.

Пользователи не отображаются непосредственно в локальной группе администраторов, разрешения получаются с помощью первичного маркера обновления.

Указанные выше условия не относятся к пользователям, которые ранее не входили на соответствующее устройство. В этом случае права администратора применяются сразу же после первого входа на устройство.

Управление правами администратора с помощью групп Microsoft Entra (предварительная версия)

Начиная с Windows 10 версии 20H2, группы Microsoft Entra можно использовать для управления правами администратора на устройствах, присоединенных к Microsoft Entra, с помощью политики MDM локальных пользователей и групп . Эта политика позволяет назначать отдельных пользователей или группы Microsoft Entra группе локальных администраторов на присоединенном устройстве Microsoft Entra, обеспечивая детализацию для настройки отдельных администраторов для различных групп устройств.

Организации могут использовать Intune для управления этими политиками с помощью пользовательской Параметры OMA-URI или политики защиты учетных записей. Некоторые рекомендации по использованию этой политики:

Для добавления групп Microsoft Entra через политику требуется идентификатор безопасности группы, который можно получить, выполнив API Microsoft Graph для групп. Идентификатор безопасности соответствует свойству securityIdentifier в ответе API.
Привилегии администратора, для которых используется политика, оцениваются на устройствах Windows 10 и более поздних версий только для следующих хорошо известных групп: администраторы, пользователи, гости, опытные пользователи, пользователи удаленного рабочего стола и пользователи удаленного управления.
Управление локальными администраторами с помощью групп Microsoft Entra не применимо к гибридным присоединенным устройствам Microsoft Entra или зарегистрированным устройствам Microsoft Entra.
Группы Microsoft Entra, развернутые на устройстве с этой политикой, не применяются к подключениям к удаленному рабочему столу. Чтобы управлять разрешениями удаленного рабочего стола для устройств, присоединенных к Microsoft Entra, необходимо добавить идентификатор безопасности отдельного пользователя в соответствующую группу.

Вход Windows с помощью идентификатора Microsoft Entra поддерживает оценку до 20 групп для прав администратора. Рекомендуется не более 20 групп Microsoft Entra на каждом устройстве, чтобы убедиться, что права администратора назначены правильно. Это ограничение также применяется к вложенным группам.

Управление обычными пользователями

По умолчанию идентификатор Microsoft Entra добавляет пользователя, выполняющего присоединение Microsoft Entra к группе администраторов на устройстве. Если вы не хотите, чтобы обычные пользователи получали права локальных администраторов, вам доступны следующие варианты:

Windows Autopilot предоставляет возможность предотвратить получение основным пользователем, выполняющим соединение, прав локального администратора путем создания профиля Autopilot.
Массовая регистрация — присоединение Microsoft Entra, выполняемое в контексте массовой регистрации , происходит в контексте автоматически созданных пользователей. Пользователи, вошедшие после присоединения устройства, не добавляются в группу администраторов.

Повышение прав пользователя на устройстве вручную

Помимо использования процесса присоединения к Microsoft Entra, вы также можете вручную повысить уровень обычного пользователя, чтобы стать локальным администратором на одном конкретном устройстве. Для выполнения этого шага необходимо быть участником группы локальных администраторов.

Начиная с выпуска Windows 10 версии 1709, эту задачу можно выполнить из раздела Параметры -> Учетные записи -> Другие пользователи. Выберите Добавить пользователя организации или учебного заведения, введите имя участника-пользователя в поле Учетная запись пользователя и выберите Администратор в разделе Тип учетной записи.

Кроме того, можно также добавить пользователей с помощью командной строки:

Если пользователи клиента синхронизированы из локальной службы Active Directory, используйте net localgroup administrators /add «Contoso\username» .
Если пользователи клиента создаются в идентификаторе Microsoft Entra, используйте net localgroup administrators /add «AzureAD\UserUpn»

Следующие шаги

Общие сведения об управлении устройствами см. в статье об управлении удостоверениями устройств.
Дополнительные сведения об условном доступе на основе устройств см. в статье «Условный доступ: требуется соответствие требованиям или гибридное устройство, присоединенное к Microsoft Entra».

Добавление учетных записей администратора и управление ими

В идентификаторе Microsoft Entra для клиентов клиент представляет каталог учетных записей потребителей и гостевых учетных записей. С помощью роли администратора рабочие и гостевые учетные записи могут управлять клиентом.

Необходимые компоненты

Если вы еще не создали собственный клиент Клиента Microsoft Entra, создайте его сейчас.
Общие сведения об учетных записях пользователей в идентификаторе Microsoft Entra для клиентов.
Общие сведения о ролях пользователей для управления доступом к ресурсам.

Добавление учетной записи администратора

Чтобы создать новую учетную запись администратора, выполните следующие действия.

Войдите в Центр администрирования Microsoft Entra с помощью разрешений Глобального Администратор istrator или привилегированного роли Администратор istrator.
Если у вас есть доступ к нескольким клиентам, используйте значок Параметры в верхнем меню, чтобы переключиться на клиент клиента из меню каталогов и подписок.
Перейдите ко всем пользователям удостоверений> >.
Выберите «Создать пользователя>«.
На странице «Создать пользователя» в разделе «Выбор шаблона» выберите «Создать пользователя«.
В разделе «Удостоверение» введите сведения для этого администратора:
- Имя пользователя. Обязательно. Имя нового пользователя. Например, mary@contoso.com .
- Имя. Обязательно. Имя и фамилия нового пользователя. Например, Мэри Паркер.
- Имя. Имя нового пользователя. Например, Мэри.
- Фамилия. Фамилия нового пользователя. Например, Паркер.
- Группы.Необязательно. Пользователя можно добавить к одной или нескольким существующим группам. Вы также можете добавить пользователя в группы позже.
- Роли. Чтобы добавить административные разрешения для пользователя, добавьте их в роль Microsoft Entra. Вы можете назначить пользователя глобальным администратором или одной или несколькими ограниченными ролями администратора в идентификаторе Microsoft Entra.
- Параметры. Используйте переключатель «Да» или «Нет», чтобы задать вход в систему, а затем выберите основное расположение администратора в списке расположений использования.
- Сведения о задании: вы можете добавить дополнительные сведения о пользователе здесь или сделать это позже.
Скопируйте автоматически созданный пароль в поле Пароль. Этот пароль необходимо предоставить администратору для входа в первый раз.
Нажмите кнопку создания.

Администратор создается и добавляется в клиент клиента. Предпочтительнее иметь по крайней мере одну учетную запись администратора для клиента, назначаемую роль глобального Администратор istrator. Эта учетная запись может считаться учетной записью аварийного доступа или учетной записью аварийного доступа.

Приглашение администратора (гостевая учетная запись)

Вы также можете пригласить нового гостевого пользователя для управления клиентом. Чтобы пригласить администратора, выполните следующие действия.

Войдите в Центр администрирования Microsoft Entra с помощью разрешений Глобального Администратор istrator или привилегированного роли Администратор istrator.
Если у вас есть доступ к нескольким клиентам, используйте значок Параметры в верхнем меню, чтобы переключиться на клиент клиента из меню каталогов и подписок.
Перейдите ко всем пользователям удостоверений> >.
Выберите Новый пользователь>Пригласить внешнего пользователя.
На странице «Создать пользователя» в разделе «Выбор шаблона» выберите «Пригласить пользователя«.
В разделе «Удостоверение» введите сведения для администратора:
- Имя. Обязательно. Имя и фамилия нового пользователя. Например, Мэри Паркер.
- Адрес электронной почты. Обязательно. Адрес электронной почты пользователя, которого вы хотите пригласить.
- Имя. Имя нового пользователя. Например, Мэри.
- Фамилия. Фамилия нового пользователя. Например, Паркер.
- Личное сообщение. Добавьте личное сообщение, которое будет включаться в приглашение.
- Группы.Необязательно. Пользователя можно добавить к одной или нескольким существующим группам. Вы также можете добавить пользователя в группы позже.
- Роли. Чтобы добавить административные разрешения для пользователя, добавьте их в роль Microsoft Entra. Вы можете назначить пользователя глобальным администратором или одной или несколькими ограниченными ролями администратора в идентификаторе Microsoft Entra.
- Параметры. Используйте переключатель «Да» или «Нет», чтобы задать вход в систему, а затем выберите основное расположение администратора в списке расположений использования.
- Сведения о задании: вы можете добавить дополнительные сведения о пользователе здесь или сделать это позже.
Выберите Пригласить.

Пользователю будет отправлено приглашение по электронной почте. Пользователь должен принять это приглашение, чтобы иметь возможность войти в систему.

Добавление назначения роли.

Роль можно назначить при создании пользователя или приглашении гостевого пользователя. Роль пользователя можно добавить, изменить или удалить.

Войдите в Центр администрирования Microsoft Entra с помощью разрешений Глобального Администратор istrator или привилегированного роли Администратор istrator.
Если у вас есть доступ к нескольким клиентам, используйте значок Параметры в верхнем меню, чтобы переключиться на клиент клиента из меню каталогов и подписок.
Перейдите ко всем пользователям удостоверений> >.
Выберите пользователя, для которого необходимо изменить роли. Выберите Назначенные роли.
Выберите Добавить назначения, выберите роль, которую нужно назначить (например, Администратор приложений), а затем нажмите Добавить.

Удаление назначения ролей

Если необходимо удалить назначение роли пользователю, выполните указанные ниже действия.

Войдите в Центр администрирования Microsoft Entra с помощью разрешений Глобального Администратор istrator или привилегированного роли Администратор istrator.
Если у вас есть доступ к нескольким клиентам, используйте значок Параметры в верхнем меню, чтобы переключиться на клиент клиента из меню каталогов и подписок.
Перейдите ко всем пользователям удостоверений> >.
Выберите пользователя, для которого необходимо изменить роли. Выберите Назначенные роли.
Выберите роль, которую необходимо удалить, например Администратор приложений, а затем выберите Удалить назначение.

Проверка назначений ролей учетной записи администратора

В рамках процесса аудита обычно проверяется, какие пользователи назначены определенным ролям в каталоге клиентов. Чтобы проверить, каким пользователям в настоящее время назначены привилегированные роли, выполните указанные ниже действия.

Войдите в Центр администрирования Microsoft Entra с помощью разрешений Глобального Администратор istrator или привилегированного роли Администратор istrator.
Если у вас есть доступ к нескольким клиентам, используйте значок Параметры в верхнем меню, чтобы переключиться на клиент клиента из меню каталогов и подписок.
Перейдите к ролям удостоверений>и администраторам.>
Выберите роль, например Глобальный администратор. На странице «Назначения» перечислены пользователи с этой ролью.

Удаление учетной записи администратора

Чтобы удалить существующего пользователя, необходимо иметь назначение роли Глобальный администратор. Глобальные администраторы могут удалять всех пользователей, включая других администраторов. Администраторы пользователей могут удалять всех пользователей, не являющихся администраторами.

Войдите в Центр администрирования Microsoft Entra с помощью разрешений Глобального Администратор istrator или привилегированного роли Администратор istrator.
Если у вас есть доступ к нескольким клиентам, используйте значок Параметры в верхнем меню, чтобы переключиться на клиент клиента из меню каталогов и подписок.
Перейдите ко всем пользователям удостоверений> >.
Выберите пользователя, которого нужно удалить.
Выберите Удалить, а затем нажмите кнопку Да, чтобы подтвердить удаление.

Пользователь удаляется и больше не отображается на странице «Все пользователи «. Пользователь может отображаться на странице Удаленные пользователи в течение 30 дней. В этот период его можно восстановить. Дополнительные сведения о восстановлении пользователя см. в разделе «Восстановление» или удаление недавно удаленного пользователя с помощью идентификатора Microsoft Entra.

Защита учетных записей администраторов

Для повышения безопасности рекомендуется защищать все учетные записи администраторов многофакторной проверкой подлинности (MFA). MFA — это процесс проверки подлинности во время входа, который запрашивает у пользователя одноразовый секретный код.

Создание или изменение группы пользователей

Семь групп безопасности по умолчанию устанавливаются с Microsoft Project Server 2010. Для лучшего соблюдения требований безопасности вашей организации вы также можете создавать пользовательские группы с помощью страницы » Управление группами » на странице параметров сервера сайта Microsoft Project Web App (PWA).

Перед выполнением этой процедуры убедитесь в том, что:

У вас есть доступ к Project Server 2010 с помощью Microsoft Project Web App.

Важно: Для выполнения этой процедуры требуется глобальное разрешение Manage Users и Groups в Project Server 2010.

Добавление группы безопасности

Чтобы создать настраиваемую группу в Project Server 2010, выполните указанные ниже действия.

На домашней странице PWA на панели быстрого запуска выберите пункт Параметры сервера.
На странице » Параметры сервера » в разделе » Безопасность » щелкните Управление группами.
На странице Управление группами нажмите кнопку создать группу.
На странице Добавить или изменить группу в разделе сведения о группе сделайте следующее:
1. В поле имя группы введите имя новой группы.
2. В поле Описание введите краткое описание группы.
3. Если вы синхронизируете эту группу с группой в службе каталогов Active Directory, нажмите кнопку Найти группу. На странице » Найти группу в Active Directory » найдите группу Active Directory, с которой нужно синхронизировать группу Project Server. Результаты поиска будут показаны в списке имя группы. В списке имя группы выберите группу, с которой вы хотите синхронизировать, и нажмите кнопку ОК. Имя группы появится в разделе сведения о группе рядом с группой Active Directory, которую нужно синхронизировать.
Примечание: На странице Управление группами есть дополнительные параметры синхронизации службы каталогов Active Directory.
- Нажмите кнопку Добавить все , чтобы добавить в группу всех доступных пользователей.
- Чтобы выбрать сразу несколько пользователей, нажмите клавишу CTRL, а затем выберите нужные параметры.
- Пользователи, добавленные в группу, отображаются в списке Выбранные пользователи .
- Для удаления пользователей из группы используйте кнопку Удалить или удалить все .
Примечание: Дополнительные сведения о разрешениях для категорий можно найти в разделе разрешения для категории Project Server 2010.

Дополнительные сведения

Старайтесь не создавать ненужных групп. Наличие большого количества групп и категорий в Организации может привести к дополнительным сложностям управления. Кроме того, с помощью большого количества групп и категорий можно выгрузить систему авторизации, что может повлиять на производительность.

Примечание: Эта страница переведена автоматически, поэтому ее текст может содержать неточности и грамматические ошибки. Для нас важно, чтобы эта статья была вам полезна. Была ли информация полезной? Для удобства также приводим ссылку на оригинал (на английском языке).

Как создать пользователя Windows 10

Основной способ создания нового пользователя в Windows 10 — использование пункта «Учетные записи» нового интерфейса настроек, доступного в «Пуск» — «Параметры». В указанном пункте настроек откройте раздел «Семья и другие пользователи».
- В разделе «Ваша семья» вы сможете (при условии, что используете учетную запись Майкрософт) создать учетные записи для членов семьи (также синхронизируемые с Майкрософт), подробнее о таких пользователях я писал в инструкции Родительский контроль Windows 10.
- Ниже, в разделе «Другие пользователи» можно добавить «простого» нового пользователя или администратора, учетная запись которого не будет контролироваться и являться «членом семьи», можно использовать как учетные записи Майкрософт, так и локальные учетные записи. Этот вариант будет рассматриваться далее.
Для создания нового пользователя, не входящего в семью и без возможностей родительского контроля, выполните следующие шаги:
1. В разделе «Другие пользователи» нажмите «Добавить пользователя для этого компьютера».
2. В следующем окне вам будет предложено указать адрес электронной почты или номер телефона — введите их, при условии, что вы хотите добавить пользователя с уже существующей учетной записью Майкрософт.
3. Если вы собираетесь создавать локальную учетную запись (или даже учетную запись Майкрософт, но пока не зарегистрировали e-mail для нее), нажмите «У меня нет данных для входа этого человека» внизу окна.
4. В следующем окне будет предложено создать учетную запись Майкрософт. Вы можете заполнить все поля для создания пользователя с такой учетной записью или нажать «Добавить пользователя без учетной записи Майкрософт» внизу.
5. В следующем окне останется ввести имя пользователя, пароль (если требуется пользователь без пароля, просто не вводите ничего в соответствующие поля), подсказку для пароля и указать вопросы для восстановления пароля, на случай, если он будет забыт. Этого достаточно, чтобы новый пользователь Windows 10 появился в системе и под его учетной записью был возможен вход.
По умолчанию, новый пользователь имеет права «обычного пользователя». Если нужно сделать его администратором компьютера, выполните следующие шаги (при этом, вы для этого также должны быть администратором):
1. Зайдите в Параметры — Учетные записи — Семья и другие пользователи.
2. В разделе «Другие пользователи» нажмите по пользователю, которого нужно сделать администратором и кнопку «Изменить тип учетной записи».
3. В списке выберите «Администратор» и нажмите Ок.
Войти под новым пользователем можно, нажав по имени текущего пользователя вверху меню пуск или с экрана блокировки, предварительно выйдя из текущей учетной записи.

Как создать нового пользователя в командной строке

Для того, чтобы создать пользователя с помощью командной строки Windows 10, запустите ее от имени администратора (например, через меню правого клика по кнопке «Пуск»), после чего введите команду (если имя пользователя содержит пробелы, используйте кавычки, пароль брать в кавычки не нужно):
```
net user имя_пользователя пароль /add
```
И нажмите Enter.

После успешного выполнения команды, в системе появится новый пользователь. Также вы можете сделать его администратором, используя следующую команду (если команда не сработала, а у вас не лицензия Windows 10, попробуйте вместо Администраторы писать administrators):
```
net localgroup Администраторы имя_пользователя /add
```
Вновь созданный таким образом пользователь будет иметь локальную учетную запись на компьютере.

Создание пользователя в «Локальные пользователи и группы» Windows 10

И еще один способ создания локальной учетной записи с помощью элемента управления «Локальные пользователи и группы»:
1. Нажмите клавиши Win+R, введите lusrmgr.msc в окно «Выполнить» и нажмите Enter.
2. Выберите «Пользователи», а затем в списке пользователей кликните правой кнопкой мыши и нажмите «Новый пользователь».
3. Задайте параметры для нового пользователя.
Чтобы сделать созданного пользователя администратором, кликните по его имени правой кнопкой мыши, выберите пункт «Свойства». Затем, на вкладке «Членство в группах» нажмите кнопку «Добавить», наберите «Администраторы» и нажмите «Ок».

Готово, теперь выбранный пользователь Windows 10 будет иметь права администратора.

Добавление учетной записи в control userpasswords2

И еще один очень простой способ добавления новой учетной записи пользователя Windows 10:

Видео инструкция

Если остались какие-либо вопросы или что-то не получается так просто, как это описано в инструкции — пишите, постараюсь помочь.

А вдруг и это будет интересно:
- Лучшие бесплатные программы для Windows
- Мышь без границ — используем одну мышь на нескольких компьютерах одновременно
- Как очистить журнал защиты Windows
- Что такое MPRT в характеристиках монитора?
- MinerSearch — поиск и удаление майнера в Windows
- Program в автозагрузке Windows — что это и можно ли удалить?
- Windows 11
- Windows 10
- Android
- Загрузочная флешка
- Лечение вирусов
- Восстановление данных
- Установка с флешки
- Настройка роутера
- Всё про Windows
- В контакте
- Одноклассники
- Dmitry 19.03.2018 в 09:15
- Сергей 30.06.2021 в 11:38
- Dmitry 30.06.2021 в 13:23
Похожие публикации: