Active Directory-säkerhetsgrupper

I den här artikeln beskrivs standardfunktioner för Active Directory-säkerhetsgrupper, gruppomfång och gruppfunktioner.

Vad är en säkerhetsgrupp i Active Directory?

Active Directory har två former av vanliga säkerhetsobjekt: användarkonton och datorkonton. Dessa konton representerar en fysisk entitet som antingen är en person eller en dator. Ett användarkonto kan också användas som ett dedikerat tjänstkonto för vissa program.

Säkerhetsgrupper är ett sätt att samla in användarkonton, datorkonton och andra grupper i hanterbara enheter.

I operativsystemet Windows Server (OS) är ett flertal inbyggda konton och säkerhetsgrupper förkonfigurerade med rättigheter och behörigheter för att utföra specifika uppgifter. I Active Directory delas administrativa ansvarsområden upp i två typer av administratörer:

• Tjänstadministratörer: Ansvarar för att underhålla och leverera Active Directory Domain Services (AD DS), inklusive att hantera domänkontrollanter och konfigurera AD DS
• Dataadministratörer: Ansvarar för att underhålla data som lagras i AD DS och på domänmedlemsservrar och arbetsstationer

Så här fungerar Active Directory-säkerhetsgrupper

Du kan använda grupper för att samla in användarkonton, datorkonton och andra grupper i hanterbara enheter. Genom att arbeta med grupper i stället för med enskilda användare kan du förenkla nätverksunderhåll och administration.

Active Directory har två typer av grupper:

• Säkerhetsgrupper: Används för att tilldela behörigheter till delade resurser.
• Distributionsgrupper: Används för att skapa e-postdistributionslistor.

Säkerhetsgrupper

Säkerhetsgrupper kan ge ett effektivt sätt att tilldela åtkomst till resurser i nätverket. Genom att använda säkerhetsgrupper kan du:

• Tilldela användarrättigheter till säkerhetsgrupper i Active Directory.

  Du kan tilldela användarrättigheter till en säkerhetsgrupp för att avgöra vad medlemmar i gruppen kan göra inom omfånget för en domän eller skog. Användarrättigheter tilldelas automatiskt till vissa säkerhetsgrupper när Active Directory installeras för att hjälpa administratörer att definiera en persons administrativa roll i domänen.

  En användare som du lägger till i gruppen Säkerhetskopieringsoperatörer i Active Directory kan till exempel säkerhetskopiera och återställa filer och kataloger som finns på varje domänkontrollant i domänen. Användaren kan utföra dessa åtgärder eftersom som standard användarrättigheter Säkerhetskopieringsfiler och kataloger samt Återställningsfiler och kataloger tilldelas automatiskt till gruppen Säkerhetskopieringsoperatörer. Därför ärver medlemmar i den här gruppen de användarrättigheter som har tilldelats till den gruppen.

  Du kan använda grupprincip för att tilldela användarrättigheter till säkerhetsgrupper för att delegera specifika uppgifter. Mer information om hur du använder grupprincip finns i Tilldelning av användarrättigheter.

• Tilldela behörigheter till säkerhetsgrupper för resurser.

  Behörigheter skiljer sig från användarrättigheter. Behörigheter tilldelas till en säkerhetsgrupp för en delad resurs. Behörigheter avgör vem som kan komma åt resursen och åtkomstnivån, till exempel Fullständig kontroll eller Läs. Vissa behörigheter som anges för domänobjekt tilldelas automatiskt för att tillåta olika åtkomstnivåer till standardsäkerhetsgrupper som gruppen Kontooperatörer eller gruppen Domänadministratörer.

  Säkerhetsgrupper listas i diskretionära åtkomstkontrollistor (DACLs) som definierar behörigheter för resurser och objekt. När administratörer tilldelar behörigheter för resurser som filresurser eller skrivare bör de tilldela dessa behörigheter till en säkerhetsgrupp i stället för till enskilda användare. Behörigheterna tilldelas en gång till gruppen i stället för flera gånger till varje enskild användare. Varje konto som läggs till i en grupp får de rättigheter som har tilldelats gruppen i Active Directory. Användaren får behörigheter som har definierats för den gruppen.

Du kan använda en säkerhetsgrupp som en e-postentitet. Om du skickar ett e-postmeddelande till en säkerhetsgrupp skickas meddelandet till alla medlemmar i gruppen.

Distributionsgrupper

Du kan bara använda distributionsgrupper för att skicka e-post till samlingar med användare med hjälp av ett e-postprogram som Exchange Server. Distributionsgrupper är inte säkerhetsaktiverade, så du kan inte inkludera dem i DACLs.

Gruppomfång

Varje grupp har ett omfång som identifierar i vilken utsträckning gruppen tillämpas i domänträdet eller skogen. Omfånget för en grupp definierar de områden i nätverket där behörigheter kan beviljas för gruppen. Active Directory definierar följande tre gruppomfattningar:

• Universal
• Global
• Lokal domän

I följande tabell beskrivs de tre gruppomfattningarna och hur de fungerar som säkerhetsgrupper:

Särskilda identitetsgrupper

En särskild identitetsgrupp är där vissa särskilda identiteter grupperas tillsammans. Särskilda identitetsgrupper har inte specifika medlemskap som du kan ändra, men de kan representera olika användare vid olika tidpunkter beroende på omständigheterna. Dessa grupper är Skaparägare, Batch och Autentiserad användare.

Mer information finns i Särskilda identitetsgrupper.

Standardsäkerhetsgrupper

Standardgrupper som gruppen Domänadministratörer är säkerhetsgrupper som skapas automatiskt när du skapar en Active Directory-domän. Dessa fördefinierade grupper kan hjälpa dig att styra åtkomsten till delade resurser och delegera specifika domänomfattande administrativa roller.

Många standardgrupper tilldelas automatiskt en uppsättning användarrättigheter. Dessa rättigheter ger medlemmar i gruppen behörighet att utföra specifika åtgärder i en domän, till exempel att logga in på ett lokalt system eller säkerhetskopiera filer och mappar. En medlem i gruppen Säkerhetskopieringsoperatörer kan till exempel utföra säkerhetskopieringsåtgärder för alla domänkontrollanter i domänen.

När du lägger till en användare i en grupp får användaren alla användarrättigheter som har tilldelats gruppen, inklusive alla behörigheter som har tilldelats gruppen för delade resurser.

Standardgrupper finns i den inbyggda containern eller containern Användare i verktyget Active Directory-användare och datorer. Den inbyggda containern innehåller grupper som har definierats med det lokala domänomfånget. Containern Användare innehåller grupper som definieras med globalt omfång och grupper som definieras med domänlokalt omfång. Du kan flytta grupper som finns i dessa containrar till andra grupper eller organisationsenheter inom domänen. Men du kan inte flytta dem till andra domäner.

Några av de administrativa grupper som anges i den här artikeln och alla medlemmar i dessa grupper skyddas av en bakgrundsprocess som regelbundet söker efter och tillämpar en specifik säkerhetsbeskrivning. Den här beskrivningen är en datastruktur som innehåller säkerhetsinformation som är associerad med ett skyddat objekt. Den här processen säkerställer att alla obehöriga försök att ändra säkerhetsbeskrivningen på ett av de administrativa kontona eller grupperna skrivs över med de skyddade inställningarna.

Säkerhetsbeskrivningen finns i adminSDHolder-objektet. Om du vill ändra behörigheterna för någon av tjänstadministratörsgrupperna eller på något av dess medlemskonton måste du ändra säkerhetsbeskrivningen för AdminSDHolder-objektet så att det tillämpas konsekvent. Var försiktig när du gör dessa ändringar eftersom du också ändrar standardinställningarna som tillämpas på alla dina skyddade administrativa konton.

Varje standardsäkerhetsgrupp har en unik identifierare som består av flera komponenter. Bland dessa komponenter finns ett relativt ID (RID), som är unikt inom gruppens domän.

Active Directory-standardsäkerhetsgrupper

Följande länkar leder till beskrivningar av de standardgrupper som finns i den inbyggda containern eller containern Användare i Active Directory.

• Hjälpoperatorer för åtkomstkontroll
• Kontooperatorer
• Administrators
• Tillåten RODC-lösenordsreplikering
• Säkerhetskopieringsoperatorer
• DCOM-åtkomst för certifikattjänsten
• Cert Publishers
• Klonbara domänkontrollanter
• Kryptografiska operatorer
• Avslagen RODC-lösenordsreplikerings
• Enhetsägare
• DHCP-administratörer
• DHCP-användare
• Distribuerade COM-användare
• DnsUpdateProxy
• DnsAdmins
• Domänadministratörer
• Domändatorer
• Domänkontrollanter
• Domängäster
• Domänanvändare
• Företagsadministratörer
• Företagsnyckeladministratörer
• Skrivskyddade domänkontrollanter för företag
• Läsare av händelseloggar
• Ägare av grupprincipskapare
• Guests
• Hyper-V administratörer
• IIS_IUSRS
• Inkommande Skogsförtroendebyggare
• Nyckeladministratörer
• Nätverkskonfigurationsoperatorer
• Prestandalogganvändare
• Användare av prestandaövervakare
• Pre-Windows 2000-kompatibel åtkomst
• Utskriftsoperatorer
• Skyddade användare
• RAS- och IAS-servrar
• RDS-slutpunktsservrar
• RDS-hanteringsservrar
• Fjärråtkomstservrar (RDS)
• skrivskyddade domänkontrollanter
• Fjärrskrivbordsanvändare
• Fjärrhanteringsanvändare
• Replicator
• Schemaadministratörer
• Serveroperatörer
• Storage Replica-administratörer
• Systemhanterade konton
• Licensservrar för Terminal Server
• Users
• Windows-auktoriseringsåtkomst
• WinRMRemoteWMIUsers__

Hjälpoperatorer för åtkomstkontroll

Medlemmar i den här gruppen kan fjärrfråga auktoriseringsattribut och behörigheter för resurser på datorn. Den här gruppen kan inte ändras, raderas eller tas bort.

Kontoansvariga

Gruppen Kontooperatörer ger en användare begränsad behörighet att skapa konton. Medlemmar i den här gruppen kan skapa och ändra de flesta typer av konton, inklusive konton för användare, lokala grupper och globala grupper. Gruppmedlemmar kan logga in lokalt på domänkontrollanter.

Medlemmar i gruppen Kontooperatörer kan inte ändra användarrättigheter. Medlemmar i den här gruppen kan inte heller hantera följande konton och grupper:

• Administratörsanvändarkonto
• Användarkonton för administratörer
• Administrators
• Serveroperatörer
• Kontooperatorer
• Säkerhetskopieringsoperatorer
• Utskriftsoperatorer

Den här gruppen kan inte ändras, raderas eller tas bort.

Administrators

Medlemmar i gruppen Administratörer har fullständig och obegränsad åtkomst till datorn. Om datorn befordras till en domänkontrollant har medlemmar i gruppen Administratörer obegränsad åtkomst till domänen.

Tillåten RODC-lösenordsreplikering

Syftet med den här säkerhetsgruppen är att hantera en endast läsbar domänkontrollants (RODC) lösenordsreplikeringspolicy. Den här gruppen har inga medlemmar som standard. Det innebär att nya RODC:er inte cachelagrade användarautentiseringsuppgifter. Gruppen Nekad RODC-lösenordsreplikering innehåller olika konton med hög behörighet och säkerhetsgrupper. Gruppen Nekad RODC-lösenordsreplikering ersätter gruppen Tillåten RODC-lösenordsreplikering. Den här gruppen kan inte ändras, raderas eller tas bort.

Ansvariga för säkerhetskopiering

Medlemmar i gruppen Säkerhetskopieringsoperatörer kan säkerhetskopiera och återställa alla filer på en dator, oavsett vilka behörigheter som skyddar filerna. Säkerhetskopieringsoperatorer kan också logga in på och stänga av datorn. Den här gruppen kan inte ändras, raderas eller tas bort. Som standard har den här inbyggda gruppen inga medlemmar, och den kan utföra säkerhetskopierings- och återställningsåtgärder på domänkontrollanter. Medlemmar i följande grupper kan ändra gruppmedlemskap för säkerhetskopieringsoperatörer: standardtjänstadministratörer, domänadministratörer i domänen och företagsadministratörer. Medlemmar i gruppen Säkerhetskopieringsoperatörer kan inte ändra medlemskap i några administrativa grupper. Även om medlemmar i den här gruppen inte kan ändra serverinställningar eller ändra konfigurationen av katalogen, har de de behörigheter som krävs för att ersätta filer (inklusive OS-filer) på domänkontrollanter. Eftersom medlemmar i den här gruppen kan ersätta filer på domänkontrollanter anses de vara tjänstadministratörer.

DCOM-åtkomst för certifikattjänsten

Medlemmar i den här gruppen kan ansluta till certifikatutfärdare i företaget. Den här gruppen kan inte ändras, raderas eller tas bort.

Utfärdare av certifikat

Medlemmar i gruppen Cert Publishers har behörighet att publicera certifikat för användarobjekt i Active Directory. Den här gruppen kan inte ändras, raderas eller tas bort.

Klonbara domänkontrollanter

Medlemmar i gruppen Klonbara domänkontrollanter som är domänkontrollanter kan klonas. I Windows Server 2012 R2 och Windows Server 2012 kan du distribuera domänkontrollanter genom att kopiera en befintlig virtuell domänkontrollant. I en virtuell miljö kan du inte upprepade gånger distribuera en serverbild som förbereds med hjälp Sysprep.exe av verktyget. Det är inte heller tillåtet att marknadsföra servern till en domänkontrollant och sedan slutföra fler konfigurationskrav för att distribuera varje domänkontrollant (inklusive att lägga till den virtuella domänkontrollanten i den här säkerhetsgruppen). Den här gruppen kan inte ändras, raderas eller tas bort.

Mer information finns i Virtualisera Active Directory Domain Services (AD DS) på ett säkert sätt.

Kryptografiska operatorer

Medlemmar i den här gruppen har behörighet att utföra kryptografiska åtgärder. Den här säkerhetsgruppen konfigurerar Windows-brandväggen för IPsec i läget Vanliga kriterier. Den här gruppen kan inte ändras, raderas eller tas bort.

Förneka RODC-lösenordsreplikering

Lösenord för medlemmar i gruppen Nekad RODC-lösenordsreplikering kan inte replikeras till någon RODC.

Syftet med den här säkerhetsgruppen är att hantera en lösenordsreplikeringsprincip för RODC. Den här gruppen innehåller olika konton med hög behörighet och säkerhetsgrupper. Gruppen Nekad RODC-lösenordsreplikering ersätter gruppen Tillåten RODC-lösenordsreplikering .

Enhetsägare

När gruppen Enhetsägare inte har några medlemmar rekommenderar vi att du inte ändrar standardkonfigurationen för den här säkerhetsgruppen. Om du ändrar standardkonfigurationen kan det hindra framtida scenarier som är beroende av den här gruppen. Gruppen Enhetsägare används för närvarande inte i Windows.

DHCP-administratörer

Medlemmar i gruppen DHCP-administratörer kan skapa, ta bort och hantera olika områden i serverns omfång. Grupprättigheter omfattar möjligheten att säkerhetskopiera och återställa DHCP-databasen (Dynamic Host Configuration Protocol). Även om den här gruppen har administrativa rättigheter är den inte en del av gruppen Administratörer eftersom den här rollen är begränsad till DHCP-tjänster.

DHCP-användare

Medlemmar i gruppen DHCP-användare kan se vilka omfång som är aktiva eller inaktiva, inklusive vilka IP-adresser som tilldelas. Gruppmedlemmar kan också visa anslutningsproblem om DHCP-servern inte är korrekt konfigurerad. Den här gruppen är begränsad till skrivskyddad åtkomst till DHCP-servern.

Distribuerade COM-användare

Medlemmar i gruppen Distribuerade COM-användare kan starta, aktivera och använda DCOM-objekt (Distributed Component Object Model) på datorn. Microsoft Component Object Model (COM) är ett plattformsoberoende, distribuerat, objektorienterat system för att skapa binära programvarukomponenter som kan interagera. När du använder DCOM-objekt kan du distribuera dina program på platser som passar bäst för dig och till programmen. Den här gruppen visas som ett SID tills domänkontrollanten har blivit den primära domänkontrollanten och den har rollen som åtgärdshanterare, som även kallas FSMO-rollen (flexible single master operations). Den här gruppen kan inte ändras, raderas eller tas bort.

DnsUpdateProxy

Medlemmar i gruppen DnsUpdateProxy är DNS-klienter (Domain Name System). De får utföra dynamiska uppdateringar för andra klienters räkning, till exempel DHCP-servrar. En DNS-server kan utveckla inaktuella resursposter när en DHCP-server har konfigurerats för att dynamiskt registrera värdresursposter (A) och pekare (PTR) för DHCP-klienter med hjälp av dynamisk uppdatering. Om du lägger till klienter i den här säkerhetsgruppen minimeras det här scenariot.

För att skydda mot oskyddade poster eller för att tillåta medlemmar i gruppen DnsUpdateProxy att registrera poster i zoner som endast tillåter skyddade dynamiska uppdateringar, måste du skapa ett dedikerat användarkonto. Du måste också konfigurera DHCP-servrar för att utföra dynamiska DNS-uppdateringar med hjälp av användarnamnet, lösenordet och domänen för det här kontot. Flera DHCP-servrar kan använda autentiseringsuppgifterna för ett dedikerat användarkonto. Den här gruppen finns bara om DNS-serverrollen är eller någon gång har installerats på en domänkontrollant i domänen.

För mer information, se DNS-postägarskap och gruppen DnsUpdateProxy.

DnsAdmins

Medlemmar i dnsAdmins-gruppen har åtkomst till nätverks-DNS-information. Som standard tilldelas medlemmar i den här gruppen följande behörigheter: Läsa, Skriva, Skapa alla underordnade objekt, Ta bort underordnade objekt och Särskilda behörigheter. Den här gruppen finns bara om DNS-serverrollen är eller någon gång har installerats på en domänkontrollant i domänen.

Mer information om säkerhet och DNS finns i DNSSEC i Windows Server 2012.

Domänadministratörer

Medlemmar i säkerhetsgruppen Domänadministratörer har behörighet att administrera domänen. Som standard är gruppen Domänadministratörer medlem i gruppen Administratörer på alla datorer som ansluter till en domän, inklusive domänkontrollanterna. Gruppen Domänadministratörer är standardägare för alla objekt som har skapats i Active Directory för domänen av alla medlemmar i gruppen. Om medlemmar i gruppen skapar andra objekt, till exempel filer, är standardägaren gruppen Administratörer.

Gruppen Domänadministratörer styr åtkomsten till alla domänkontrollanter i en domän och kan ändra medlemskapet för alla administrativa konton i domänen. Medlemmar i tjänstadministratörsgrupperna i dess domän (administratörer och domänadministratörer) och medlemmar i gruppen Företagsadministratörer kan ändra medlemskap i domänadministratörer. Den här gruppen anses vara ett tjänstadministratörskonto eftersom dess medlemmar har fullständig åtkomst till domänkontrollanterna i en domän.

Domändatorer

Den här gruppen kan omfatta alla datorer och servrar som ansluter till domänen, exklusive domänkontrollanter. Som standard blir alla datorkonton som skapas automatiskt medlemmar i den här gruppen.

Domänkontrollanter

Gruppen Domänkontrollanter kan innehålla alla domänkontrollanter i domänen. Nya domänkontrollanter läggs automatiskt till i den här gruppen.

Domängäster

Gruppen Domängäster innehåller domänens inbyggda gästkonto. När medlemmar i den här gruppen loggar in som lokala gäster på en domänansluten dator skapas en domänprofil på den lokala datorn.

Domänanvändare

Gruppen Domänanvändare innehåller alla användarkonton i en domän. När du skapar ett användarkonto i en domän läggs det till i den här gruppen som standard.

Du kan använda den här gruppen för att representera alla användare i domänen. Om du till exempel vill att alla domänanvändare ska ha åtkomst till en skrivare kan du tilldela behörigheter för skrivaren till den här gruppen. Eller så kan du lägga till gruppen Domänanvändare i en lokal grupp på utskriftsservern som har behörighet för skrivaren.

Företagsadministratörer

Gruppen Företagsadministratörer finns bara i rotdomänen för en Active Directory-skog med domäner. Gruppen är en universell grupp om domänen är i inbyggt läge. Gruppen är en global grupp om domänen är i blandat läge. Medlemmar i den här gruppen har behörighet att göra skogsomfattande ändringar i Active Directory, som att lägga till underordnade domäner.

Som standard är den enda medlemmen i gruppen administratörskontot för skogens rotdomän. Den här gruppen läggs automatiskt till i gruppen Administratörer i alla domäner i skogen och ger fullständig åtkomst till att konfigurera alla domänkontrollanter. Medlemmar i den här gruppen kan ändra medlemskapet för alla administrativa grupper. Medlemmar i standardtjänstadministratörsgrupperna i rotdomänen kan ändra medlemskap i Företagsadministratörer. Den här gruppen anses vara ett tjänstadministratörskonto.

Företagsnyckeladministratörer

Medlemmar i den här gruppen kan utföra administrativa åtgärder på viktiga objekt i skogen.

Skrivskyddade domänkontrollanter för företag

Medlemmar i den här gruppen är RODC:er i företaget. Förutom kontolösenord innehåller en RODC alla Active Directory-objekt och attribut som en skrivbar domänkontrollant innehåller. Det går dock inte att göra ändringar i databasen som lagras på RODC. Ändringar måste göras på en skrivbar domänkontrollant och sedan replikeras till RODC.

RODC:er hanterar några av de problem som ofta finns på avdelningskontor. Dessa platser kanske inte har någon domänkontrollant, eller så kanske de har en skrivbar domänkontrollant, men inte fysisk säkerhet, nätverksbandbredd eller lokal expertis för att stödja den.

Mer information finns i Vad är en RODC?.

Läsare av händelseloggar

Medlemmar i den här gruppen kan läsa händelseloggar från lokala datorer. Gruppen skapas när servern befordras till en domänkontrollant. Den här gruppen kan inte ändras, raderas eller tas bort.

Ägare av gruppolicyskapare

Den här gruppen har behörighet att skapa, redigera och ta bort grupprincipobjekt i domänen. Som standard är den enda medlemmen i gruppen Administratör.

Information om andra funktioner som du kan använda med den här säkerhetsgruppen finns i Översikt över grupprincip.

Guests

Medlemmar i gruppen Gäster och användare har liknande åtkomst som standard. Skillnaden är att gästkontot har ytterligare begränsningar. Som standard är gästkontot den enda medlemmen i gruppen Gäster. Gruppen Gäster gör det möjligt för tillfälliga eller engångsanvändare att logga in med begränsad behörighet till en dators inbyggda gästkonto.

När en medlem i gruppen Gäster loggar ut tas hela profilen bort. Profilborttagningen innehåller allt som lagras i %userprofile% katalogen, inklusive användarens registreringsdatafilinformation, anpassade skrivbordsikoner och andra användarspecifika inställningar. Detta innebär att en gäst måste använda en tillfällig profil för att logga in på systemet. Den här säkerhetsgruppen interagerar med följande grupprincipinställning: Logga inte in användare med tillfälliga profiler. Om du vill komma åt den här inställningen öppnar du redigeraren Grupprinciphantering och går sedan till Datorkonfiguration>Administrativa mallar>>.

Den här gruppen kan inte ändras, raderas eller tas bort.

Hyper-V-administratörer

Medlemmar i gruppen Hyper-V Administratörer har fullständig och obegränsad åtkomst till alla funktioner i Hyper-V. Genom att lägga till medlemmar i den här gruppen minskar du antalet medlemmar som krävs i gruppen Administratörer och separerar åtkomsten ytterligare. Den här gruppen kan inte ändras, raderas eller tas bort.

IIS_IUSRS

IIS_IUSRS är en inbyggd grupp som används av IIS (Internet Information Services) och börjar med IIS 7. Operativsystemet ser till att varje inbyggt konto och grupp har ett unikt SID. IIS 7 ersätter IUSR_MachineName-kontot och gruppen IIS_WPG med gruppen IIS_IUSRS för att säkerställa att de faktiska namnen som det nya kontot och gruppen använder aldrig lokaliseras. Oavsett till exempel språket för det Windows-operativsystem som du installerar är IIS-kontonamnet IUSR och gruppnamnet är IIS_IUSRS.

Mer information finns i Förstå inbyggda användar- och gruppkonton i IIS 7.

Inkommande forest trust builders

Medlemmar i gruppen Incoming Forest Trust Builders kan skapa inkommande enkelriktade förtroenden till en skog. Active Directory ger säkerhet över flera domäner eller skogar via domän- och skogsförtroenderelationer. Innan autentisering kan ske mellan förtroenden måste Windows avgöra om domänen som begärs är av en användare, dator eller tjänst som har en förtroenderelation med inloggningsdomänen för det begärande kontot.

För att göra detta beräknar Windows säkerhetssystem en förtroendesökväg mellan domänkontrollanten för servern som tar emot begäran och en domänkontrollant i domänen för det begärande kontot. En skyddad kanal utökas till andra Active Directory-domäner via förtroenderelationer mellan domäner. Den här skyddade kanalen används för att hämta och verifiera säkerhetsinformation, inklusive SID:er för användare och grupper.

Den här gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och den har rollen operations master (FSMO). Den här gruppen kan inte ändras, raderas eller tas bort.

Mer information finns i Hur domän- och skogsförtroenden fungerar.

Nyckeladministratörer

Medlemmar i den här gruppen kan utföra administrativa åtgärder på viktiga objekt i domänen.

Nätverkskonfigurationsoperatorer

Medlemmar i gruppen Nätverkskonfigurationsoperatörer har följande administrativa behörigheter för att hantera konfiguration av nätverksfunktioner:

• Ändra TCP/IP-egenskaperna (Transmission Control Protocol/Internet Protocol) för en LAN-anslutning (Local Area Network), som innehåller IP-adressen, nätmasken, standardgatewayen och namnservrarna
• Byt namn på de LAN-anslutningar eller fjärråtkomstanslutningar som är tillgängliga för alla användare
• Aktivera eller inaktivera en LAN-anslutning
• Ändra egenskaperna för alla fjärråtkomstanslutningar för användare
• Ta bort alla fjärråtkomstanslutningar för användare
• Byt namn på alla fjärråtkomstanslutningar för användare
• Utfärda ipconfigkommandona , ipconfig /releaseoch ipconfig /renew
• Ange PIN-avblockeringsnyckeln (PUK) för mobila bredbandsenheter som stöder ett SIM-kort

Den här gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och den har rollen operations master (FSMO). Den här gruppen kan inte ändras, raderas eller tas bort.

Användare av prestandaloggar

Medlemmar i gruppen Användare av prestandaloggar kan hantera prestandaräknare, loggar och aviseringar lokalt på servern och från fjärrklienter utan att vara medlemmar i gruppen Administratörer. Mer specifikt, medlemmar i den här säkerhetsgruppen:

• Kan använda alla funktioner som är tillgängliga för gruppen Användare av prestandaövervakare.
• Det går inte att använda Windows Kernel Trace-händelseprovidern i Data Collector Sets.

För att medlemmar i gruppen Användare av prestandaloggar ska kunna initiera dataloggning eller ändra datainsamlaruppsättningar måste gruppen först tilldelas inloggningen som en användarbehörighet för batchjobb . För att tilldela den här användarrättigheten använder du snapin-modulen Lokal säkerhetsprincip i Microsoft Management Console (MMC).

Den här gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och den har rollen operations master (FSMO). Det här kontot kan inte byta namn, tas bort eller flyttas.

Användare av prestandaövervakare

Medlemmar i den här gruppen kan övervaka prestandaräknare på domänkontrollanter i domänen, lokalt och från fjärrklienter, utan att vara medlem i grupperna Administratörer eller Prestandalogganvändare. Windows Performance Monitor är en MMC-snapin-modul som innehåller verktyg för att analysera systemprestanda. Från en enda konsol kan du övervaka program- och maskinvaruprestanda, anpassa vilka data du vill samla in i loggar, definiera tröskelvärden för aviseringar och automatiska åtgärder, generera rapporter och visa tidigare prestandadata på olika sätt.

Mer specifikt, medlemmar i den här säkerhetsgruppen:

• Kan använda alla funktioner som är tillgängliga för gruppen Användare.
• Kan visa prestandadata i realtid i Prestandaövervakaren.
• Kan ändra visningsegenskaperna för Prestandaövervakaren när du visar data.
• Det går inte att skapa eller ändra datainsamlaruppsättningar.

Den här gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och den har rollen operations master (FSMO). Den här gruppen kan inte ändras, raderas eller tas bort.

Pre-Windows 2000-kompatibel åtkomst

Medlemmar i Pre–Windows 2000-kompatibel åtkomstgruppen har läsbehörighet för alla användare och grupper i domänen. Den här gruppen tillhandahålls för bakåtkompatibilitet för datorer som kör Windows NT 4.0 och tidigare. Som standard är den särskilda identitetsgruppen Alla medlem i den här gruppen. Lägg bara till användare i den här gruppen om de kör Windows NT 4.0 eller tidigare.

Den här gruppen kan inte ändras, raderas eller tas bort.

Utskriftsoperatörer

Medlemmar i den här gruppen kan hantera, skapa, dela och ta bort skrivare som är anslutna till domänkontrollanter i domänen. De kan också hantera Active Directory-skrivarobjekt i domänen. Medlemmar i den här gruppen kan logga in lokalt på och stänga av domänkontrollanter i domänen.

Den här gruppen har inga standardmedlemmar. Eftersom medlemmar i den här gruppen kan läsa in och ta bort enhetsdrivrutiner på alla domänkontrollanter i domänen lägger du till användare med försiktighet. Den här gruppen kan inte ändras, raderas eller tas bort.

Mer information finns i Tilldela delegerad utskriftsadministratör och skrivarbehörighetsinställningar i Windows Server 2012.

Skyddade användare

Medlemmar i gruppen Skyddade användare har extra skydd mot att autentiseringsuppgifterna komprometteras under autentiseringsprocesserna.

Den här säkerhetsgruppen är utformad som en del av en strategi för att effektivt skydda och hantera autentiseringsuppgifter inom företaget. Medlemmar i den här gruppen har automatiskt ett icke-konfigurerbart skydd som tillämpas på deras konton. Medlemskap i gruppen Skyddade användare är avsett att vara restriktivt och proaktivt säkert som standard. Det enda sättet att ändra skyddet för ett konto är att ta bort kontot från säkerhetsgruppen.

Den här domänrelaterade globala gruppen utlöser ett icke-konfigurerbart skydd på enheter och värddatorer, från och med Windows Server 2012 R2 och Windows 8.1. Det utlöser också ett icke-konfigurerbart skydd på domänkontrollanter i domäner som har en primär domänkontrollant som kör Windows Server 2012 R2 eller senare. Det här skyddet minskar avsevärt minnesavtrycket för autentiseringsuppgifter när användare loggar in på datorer i nätverket från en dator som inte är kompatibel.

Beroende på kontots domänfunktionsnivå skyddas medlemmar i gruppen Skyddade användare ytterligare på grund av beteendeändringar i de autentiseringsmetoder som stöds i Windows:

• Medlemmar i gruppen Skyddade användare kan inte autentisera med hjälp av följande SSP:er (Security Support Providers): New Technology LAN Manager (NTLM), Digest Authentication eller Credential Security Support Provider (CredSSP). Lösenord cachelagras inte på en enhet som kör Windows 10 eller Windows 8.1. Enheten kan inte autentiseras till en domän när kontot är medlem i gruppen Skyddade användare.
• Kerberos-protokollet använder inte de svagare krypteringstyperna Data Encryption Standard (DES) eller Rivest Cipher 4 (RC4) i förautentiseringsprocessen. Domänen måste vara konfigurerad för att stödja minst AES-chiffersviten (Advanced Encryption Standard).
• Användarens konto kan inte delegeras med Kerberos-begränsad eller obegränsad delegering. Om användaren är medlem i gruppen Skyddade användare kan tidigare anslutningar till andra system misslyckas.
• Du kan ändra standardtiden för Kerberos TGT-biljetter från fyra timmar genom att använda autentiseringsprinciper och silon i administrationscentret för Active Directory. I standardinställningen måste användaren autentisera efter fyra timmars pass.

Den här gruppen introducerades i Windows Server 2012 R2. Mer information om hur den här gruppen fungerar finns i Säkerhetsgrupp för skyddade användare.

RAS- och IAS-servrar

Datorer som är medlemmar i gruppen RAS- och IAS-servrar, när de är korrekt konfigurerade, kan använda fjärråtkomsttjänster. Som standard har den här gruppen inga medlemmar. Datorer som kör routnings- och fjärråtkomsttjänsten (RRAS) och fjärråtkomsttjänster, till exempel IAS (Internet Authentication Service) och nätverksprincipservrar, läggs automatiskt till i gruppen. Medlemmar i den här gruppen har åtkomst till vissa egenskaper för användarobjekt, till exempel Läs kontobegränsningar, Läs inloggningsinformation och Läs information om fjärråtkomst.

RDS-slutpunktsservrar

Servrar som är medlemmar i gruppen RDS-slutpunktsservrar kan köra virtuella datorer och värdsessioner där användarprogram för RemoteApp-funktionen och personliga virtuella skrivbord körs. Du måste fylla i den här gruppen på servrar som kör Anslutningsutjämning för fjärrskrivbord (Anslutningsutjämning för fjärrskrivbord). Sessionsvärdservrar och värdservrar för fjärrskrivbordsvirtualisering (RD Virtualization Host) som används i distributionen måste finnas i den här gruppen. Den här gruppen kan inte ändras, raderas eller tas bort.

Information om Fjärrskrivbordstjänster (RDS) finns i Översikt över fjärrskrivbordstjänster i Windows Server.

RDS-hanteringsservrar

Du kan använda servrar som är medlemmar i gruppen RDS-hanteringsservrar för att utföra rutinmässiga administrativa åtgärder på servrar som kör RDS. Du måste fylla i den här gruppen på alla servrar i en RDS-distribution. Servrarna som kör RDS Central Management-tjänsten måste ingå i den här gruppen. Den här gruppen kan inte ändras, raderas eller tas bort.

RDS fjärråtkomstservrar

Servrar i gruppen RDS-fjärråtkomstservrar ger användarna åtkomst till program genom RemoteApp-funktionens och personliga virtuella skrivbord. I internetuppkopplade distributioner distribueras dessa servrar vanligtvis i ett gränsnätverk. Du måste konfigurera den här gruppen på servrar som kör RD Connection Broker. Fjärrskrivbordsgatewayservrar (RD Gateway) och fjärrskrivbordswebbåtkomstservrar (RD Web Access) som används i distributionen måste finnas i den här gruppen. Den här gruppen kan inte ändras, raderas eller tas bort.

Mer information finns i Översikt över fjärrskrivbordstjänster i Windows Server.

Skrivskyddade domänkontrollanter

Den här gruppen består av RODC:er i domänen. En RODC gör det möjligt för organisationer att enkelt distribuera en domänkontrollant i scenarier där fysisk säkerhet inte kan garanteras. Ett exempelscenario är en avdelningskontorsplats eller lokal lagring av alla domänlösenord som anses vara ett primärt hot, till exempel i ett extranät eller en programinriktad roll.

Eftersom du kan delegera administration av en RODC till en domänanvändare eller säkerhetsgrupp passar en RODC bra för en webbplats som inte ska ha en användare som är medlem i gruppen Domänadministratörer. En RODC har följande funktioner:

• En skrivskyddad AD DS-databas
• Enkelriktad replikering
• Cachelagring av autentiseringsuppgifter
• Administratörsrollsavgränsning
• En skrivskyddad DNS

Mer information finns i Förstå planering och distribution för Read-Only domänkontrollanter.

Fjärrskrivbordsanvändare

Du kan använda gruppen Fjärrskrivbordsanvändare på en värd för fjärrskrivbordssession (RD Session Host) för att ge användare och grupper behörigheter att ansluta fjärrmässigt till en värd för fjärrskrivbordssession. Den här gruppen kan inte ändras, raderas eller tas bort. Gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och har operations master-rollen (FSMO).

Fjärrhanteringsanvändare

Medlemmar i gruppen Fjärrhanteringsanvändare kan komma åt WMI-resurser (Windows Management Instrumentation) via hanteringsprotokoll som Web Services for Management (WS-Management) via Windows Remote Management-tjänsten. Åtkomst till WMI-resurser gäller endast för WMI-namnområden som ger åtkomst till användaren.

Använd gruppen Fjärrhanteringsanvändare för att tillåta användare att hantera servrar via Serverhanteraren-konsolen. Använd gruppen WinRMRemoteWMIUsers__ för att tillåta användare att fjärrköra Windows PowerShell-kommandon.

Den här gruppen kan inte ändras, raderas eller tas bort.

Mer information finns i Om WMI och Vad är nytt i MI?.

Replicator

Datorer som är medlemmar i replikatorgruppen stöder filreplikering i en domän. Windows Server använder Tjänsten för filreplikering (FRS) för att replikera systemprinciper och inloggningsskript som lagras i mappen System Volume (sysvol folder). Varje domänkontrollant behåller en kopia av sysvol-mappen som nätverksklienter kan komma åt. FRS kan också replikera data för DFS (Distributed File System) och synkronisera innehållet för varje medlem i en replikuppsättning som definierats av DFS. FRS kan kopiera och underhålla delade filer och mappar på flera servrar samtidigt. När ändringar sker synkroniseras innehållet omedelbart inom webbplatser och enligt ett schema mellan webbplatser.

Mer information finns i följande resurser:

• Filreplikeringstjänsten (FRS) är inaktuell i Windows Server 2008 R2 (Windows)
• Översikt över DFS-namnområden och DFS Replication

Den här gruppen kan inte ändras, raderas eller tas bort.

Schemaadministratörer

Medlemmar i gruppen Schemaadministratörer kan ändra Active Directory-schemat. Den här gruppen finns bara i rotdomänen för en Active Directory-skog med domäner. Den här gruppen är en universell grupp om domänen är i inbyggt läge. Den här gruppen är en global grupp om domänen är i blandat läge.

Som standard är den enda medlemmen i gruppen administratörskontot för skogens rotdomän. Den här gruppen har fullständig administrativ åtkomst till schemat.

Alla tjänstadministratörsgrupper i rotdomänen kan ändra medlemskapet i den här gruppen. Den här gruppen anses vara ett tjänstadministratörskonto eftersom dess medlemmar kan ändra schemat, som styr strukturen och innehållet i hela katalogen.

Mer information finns i Vad är Active Directory-schemat?

Serveransvariga

Medlemmar i gruppen Serveroperatörer kan administrera domänkontrollanter. Den här gruppen finns bara på domänkontrollanter. Som standardinställning har den här gruppen inga medlemmar och kan inte byta namn, raderas eller tas bort. Medlemmar i gruppen Serveroperatörer kan vidta följande åtgärder:

• Logga in på en server interaktivt
• Skapa och ta bort nätverksdelade resurser
• Stoppa och starta tjänster
• Säkerhetskopiera och återställa filer
• Formatera enhetens hårddisk
• Stäng av enheten

Som standard har den här inbyggda gruppen inga medlemmar. Den här gruppen har åtkomst till serverkonfigurationsalternativ på domänkontrollanter. Dess medlemskap styrs via tjänstadministratörsgrupperna Administratörer och domänadministratörer i domänen och av gruppen Företagsadministratörer i skogens rotdomän. Medlemmar i den här gruppen kan inte ändra några administrativa gruppmedlemskap. Den här gruppen anses vara ett tjänstadministratörskonto eftersom dess medlemmar har fysisk åtkomst till domänkontrollanter. Medlemmar i den här gruppen kan utföra underhållsaktiviteter som säkerhetskopiering och återställning, och de kan ändra binärfiler som är installerade på domänkontrollanterna. Gruppens standardanvändarrättigheter finns i följande tabell.

Administratörer för lagringsreplikering

Medlemmar i gruppen Administratörer för lagringsrepliker har fullständig och obegränsad åtkomst till alla funktioner i verktyget Storage Replica.

Systemhanterade konton

Medlemskap i gruppen Systemhanterade konton är systemhanterat. Den här gruppen innehåller DSMA (Default System Managed Account), som underlättar systemfunktioner.

Licensservrar för Terminal Server

Medlemmar i gruppen Terminal Server-licensservrar kan uppdatera användarkonton i Active Directory med information om licensutfärdning. Gruppen används för att spåra och rapportera användning av Terminal Server Per User Client Access License (TS per användare CAL). En TS per användare CAL ger en användare rätt att komma åt en instans av Terminal Server från ett obegränsat antal klientdatorer eller enheter. Den här gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och den har rollen operations master (FSMO). Den här gruppen kan inte ändras, raderas eller tas bort.

Mer information om den här säkerhetsgruppen finns i Terminal Services License Server-säkerhetsgruppkonfiguration.

Users

Medlemmar i gruppen Användare hindras från att göra oavsiktliga eller avsiktliga systemomfattande ändringar. Medlemmar i den här gruppen kan köra de flesta program. Efter den första installationen av operativsystemet är den enda medlemmen gruppen Autentiserade användare. När en dator ansluter till en domän läggs gruppen Domänanvändare till i gruppen Användare på datorn.

Användare kan utföra uppgifter som att köra ett program, använda lokala skrivare och nätverksskrivare, stänga av datorn och låsa datorn. Användare kan installera program som bara de kan använda om programmets installationsprogram stöder installation per användare. Den här gruppen kan inte ändras, raderas eller tas bort.

Windows-auktoriseringsåtkomst

Medlemmar i den här gruppen har åtkomst till tokenGroupsGlobalAndUniversal attributet för användarobjekt. Den här åtkomsten är användbar eftersom vissa programfunktioner läser token-groups-global-and-universal attributet (TGGAU) för användarkontoobjekt eller på datorkontoobjekt i AD DS. Vissa Win32-funktioner gör det lättare att läsa attributet TGGAU . Men program som läser det här attributet eller som anropar ett API som läser det här attributet lyckas inte om den anropande säkerhetskontexten inte har åtkomst till attributet. Den här gruppen gör det enklare att bevilja läsåtkomst till attributet.

Den här gruppen visas som ett SID tills domänkontrollanten blir den primära domänkontrollanten och den har rollen operations master (FSMO). Den här gruppen kan inte ändras, raderas eller tas bort.

WinRMRemoteWMIUsers__

Från och med Windows Server 2012 och Windows 8 innehåller användargränssnittet Avancerade säkerhetsinställningar delnings-fliken. På den här fliken visas säkerhetsegenskaperna för en fjärrdelad filresurs. Om du vill visa den här informationen måste du ha följande behörigheter och medlemskap:

• Du måste vara medlem i gruppen WinRMRemoteWMIUsers__ eller gruppen BUILTIN\Administrators.
• Du måste ha läsbehörighet till den delade mappen.

I Windows Server 2012 lägger funktionen Åtkomst nekad hjälp till gruppen Autentiserade användare i den lokala gruppen WinRMRemoteWMIUsers__. När funktionen Åtkomst nekad hjälp är aktiverad kan alla autentiserade användare som har läsbehörighet till filresursen visa filresursbehörigheterna.

Relaterat innehåll

• Säkerhetsprincipaler
• Särskilda identitetsgrupper
• översikt över åtkomstkontroll