Was macht SBS 2011 „unter der Haube“, wenn Sie einem Benutzer Administratorzugriff gewähren?

Ich verwende Windows Server seit vielen Jahren und wenn ich jemanden habe, der lokalen Administratorzugriff über seinen Computer benötigt, wende ich ihn über Gruppenrichtlinien auf ähnliche Weise wie diese Antwort an .

Einer meiner Kunden hat SBS 2011, und eine der Funktionen, die tatsächlich überraschend gut ist, ist die Benutzerverwaltung und wie einfach sie es einem Benutzer machen, lokalen Administratorzugriff zu gewähren:

Nachdem ich dies getan hatte, versuchte ich ewig herumzusuchen, um zu sehen, was tatsächlich "unter der Haube" angewendet wurde, aber ich scheiterte - ich konnte keine verknüpften Richtlinien sehen. Einstellungen oder Optionen überall dort, wo sie angewendet werden.

Weiß jemand, was SBS 2011 tatsächlich tut, wenn Sie die Access leveleines Benutzers ändern , und gibt es überhaupt eine Möglichkeit, dies auf Nicht-SBS-Windows-Servern einfach zu replizieren?

Der SBS-Server fügt das Domänenkonto der Administratorgruppe auf dem lokalen Computer hinzu. Dies wird über einen WMI-Aufruf des ausgewählten Computers vom SBS-Server erreicht, der das Konto in die Gruppe der lokalen Administratoren einfügt.

Eine Methode, um dies selbst über PowerShell zu erreichen, wäre:

Function Add-DomainUserToLocalGroup
{
    [cmdletBinding()]
    Param(
    [Parameter(Mandatory=$True)]
    [string]$computer,
    [Parameter(Mandatory=$True)]
    [string]$group,
    [Parameter(Mandatory=$True)]
    [string]$domain,
    [Parameter(Mandatory=$True)]
    [string]$user
    )
        $de = [ADSI]"WinNT://$computer/$Group,group"
        $de.psbase.Invoke("Add",([ADSI]"WinNT://$domain/$user").path)
} #end function Add-DomainUserToLocalGroup

Code aus dem Scripting Guy Blog.

Dies kann von einem Nicht-SBS-Server repliziert werden, solange der Computer, zu dem Sie den Benutzer hinzufügen, Teil der Domäne ist, der Benutzer, der den Befehl ausführt, über Berechtigungen zum Hinzufügen eines lokalen Administrators verfügt und über die Firewall-Ausnahmen für "Windows Remote" verfügt Verwaltung "sind für das Netzwerk aktiviert, von dem der Befehl stammen würde.