Active Directory 域環境：通過組策略腳本自動將域用戶加入本地管理員組

需求：域用戶登錄任意域電腦時，自動獲得該機本地管理員權限。本文分析 net localgroup 時序陷阱，給出「計算機啟動腳本 + 域用戶組」的標準落地方案，並討論風險與替代策略。

一、 直觀但錯誤的嘗試：登錄腳本

# 登錄腳本 (用戶上下文運行)
net localgroup administrators "DOMAIN\%username%" /add

失敗原因：
1. 登錄腳本在用戶登錄**後**運行，此時需管理員權限修改本地組。
2. 普通用戶無權執行 net localgroup administrators ... /add。
3. 若用 runas 內嵌管理員密碼，極其不安全。

二、 正確姿勢：計算機啟動腳本（系統上下文）

啟動腳本在用戶登錄**前**以 SYSTEM 權限運行，可修改本地組。

步驟

1. 創建批處理 add_local_admin.bat：

@echo off
net localgroup administrators "DOMAIN\Domain Users" /add

2. 打開組策略管理 gpmc.msc。
3. 針對目標 OU 創建/編輯 GPO：
   Computer Configuration → Policies → Windows Settings → Scripts (Startup/Shutdown) → Startup → Add → 選中 add_local_admin.bat。
4. 鏈接 GPO 到目標 OU，執行 gpupdate /force 並重啟客戶機驗證。

三、 方案風險與妥協

四、 更安全的替代方案

1. LAPS (Local Administrator Password Solution)：微軟官方工具，為每台機器生成唯一隨機本地管理員密碼，存儲於 AD 屬性中，授權人員檢出使用，定期輪換。
2. Just Enough Administration (JEA)：PowerShell 限制性端點，僅暴露特定管理任務，無需本地管理員權限。
3. 應用兼容性修復：使用 Application Compatibility Toolkit (ACT) 創建 Shim，重定向寫入路徑/註冊表，解決「舊應用需管理員權限」的根因。
4. UAC 虛擬化/提權提示：保持標準用戶，通過 UAC 提權完成管理任務。

五、 核心建議

「將域用戶加入本地管理員組」往往是治標不治本。優先排查業務系統權限需求，通過 LAPS/JEA/Shim 解決；實在無法規避時，僅將**最小必要安全組**加入本地管理員，並啟用審計監控異常操作。