При вводе машины в домен создаются следующие локальные роли:
роль пользователей (users);
роль пользователей с расширенными правами (powerusers);
роль локальных администраторов (localadmins).
Локальные роли users и localadmins назначаются для глобальных групп в домене.
Список назначенных ролей и привилегий:
# rolelst
users:vmusers,usershares,cdwriter,cdrom,audio,video,proc,radio,camera,floppy,xgrp,scanner,uucp,vboxusers,fuse,vboxadd
domain admins:localadmins
localadmins:wheel,vboxadd,vboxusers
powerusers:remote,vboxadd,vboxusers
vboxadd:vboxsf
# id ivanov
uid=1187401105(ivanov) gid=1187400513(domain users) группы=1187400513(domain users),1187401110(uds)
Если необходимо выдать права администраторов пользователям, которые не являются администраторами домена (Domain Admins), то нужно завести новую группу в AD (например, PC Admins), добавить туда необходимых пользователей. Затем на рабочей станции, введённой в домен, добавить роль для данной группы:
# roleadd 'PC Admins' localadmins
# rolelst
users:vmusers,usershares,cdwriter,cdrom,audio,video,proc,radio,camera,floppy,xgrp,scanner,uucp,vboxusers,fuse,vboxadd
domain admins:localadmins
pc admins:localadmins
localadmins:wheel,vboxadd,vboxusers
powerusers:remote,vboxadd,vboxusers
vboxadd:vboxsf
После этого пользователь, входящий в группу PC Admins, сможет
получать права администратора.
