Group Policy (GPO) দিয়ে লোকাল অ্যাডমিন গ্রুপে ইউজার যোগ করা

ভূমিকা

GPO (Group Policy) ব্যবহার করে Active Directory ইউজার ও গ্রুপকে ডোমেইন-জয়েনড সার্ভার ও ওয়ার্কস্টেশনের লোকাল Administrators গ্রুপে যোগ করা যায়। এতে টেকনিক্যাল সাপোর্ট স্টাফ, HelpDesk টিম, নির্দিষ্ট ইউজার বা অন্যান্য প্রিভিলেজড অ্যাকাউন্টকে ডোমেইন কম্পিউটারে লোকাল অ্যাডমিন প্রিভিলেজ দেওয়া যায়।

Active Directory ডোমেইনে Local Administrators Group

কম্পিউটার AD ডোমেইনে জয়েন করলে Domain Admins গ্রুপ অটোমেটিকালি লোকাল Administrators গ্রুপে যোগ হয়, আর Domain Users গ্রুপ লোকাল Users গ্রুপে যোগ হয়।

সহজ পদ্ধতি: Local users and groups স্ন্যাপ-ইন (lusrmgr.msc) দিয়ে ইউজার/গ্রুপ লোকাল Administrators গ্রুপে যোগ করা। কিন্তু অনেক কম্পিউটার থাকলে এই পদ্ধতি সুবিধাজনক নয়, সময়ের সাথে সাথে অবাঞ্ছিত লোক লোকাল অ্যাডমিন গ্রুপে থাকতে পারে। প্রতিটি ডোমেইন কম্পিউটারে লোকাল অ্যাডমিন গ্রুপের মেম্বার কন্ট্রোল করা কঠিন।

Microsoft প্রশাসনিক প্রিভিলেজ আলাদা করার জন্য নিচের গ্রুপ স্ট্রাকচার রিকমেন্ড করে:

1. Domain Admins – শুধু ডোমেইন কন্ট্রোলারগুলোর জন্য। সিকিউরিটি পয়েন্ট অফ ভিউ থেকে প্রিভিলেজড অ্যাডমিন অ্যাকাউন্ট দিয়ে ওয়ার্কস্টেশন/সার্ভার ম্যানেজ করা উচিত নয়। এই অ্যাকাউন্ট শুধু AD ম্যানেজমেন্টে (নতুন DC, রিপ্লিকেশন, স্কিমা মডিফিকেশন) ব্যবহার করুন। ডোমেইন কন্ট্রোলার ছাড়া অন্য কোথাও Domain Admin দিয়ে লগইন করবেন না।
2. Server Admins – ডোমেইন মেম্বার সার্ভার ম্যানেজ করার গ্রুপ। Domain Admins বা ওয়ার্কস্টেশনের লোকাল Administrators গ্রুপের মেম্বার হবে না।
3. Workstation Admins – শুধু ওয়ার্কস্টেশনে অ্যাডমিনিস্ট্রেটিভ টাস্কের জন্য। Domain Admins এবং Server Admins গ্রুপের মেম্বার হবে না।
4. Domain Users – সাধারণ ইউজার অ্যাকাউন্ট, সার্ভার/ওয়ার্কস্টেশনে কোনো অ্যাডমিন প্রিভিলেজ নেই।

আপনি চাইলে কোনো অ্যাডমিন প্রিভিলেজ দিয়ে না থাকতে পারেন। সেক্ষেত্রে বিল্ট-ইন লোকাল Administrator অ্যাকাউন্ট (পাসওয়ার্ড AD-এ সংরক্ষিত, LAPS-বেসড) ব্যবহার করে ওয়ার্কস্টেশনে অ্যাডমিন টাস্ক করা যায়।

উদাহরণ: টেক সাপোর্ট/HelpDesk গ্রুপকে নির্দিষ্ট OU-এর কম্পিউটারে লোকাল অ্যাডমিন করা

নতুন সিকিউরিটি গ্রুপ তৈরি করুন ও টেক সাপোর্ট অ্যাকাউন্ট যোগ করুন:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=woshub,DC=com' -GroupScope Global –PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

Group Policy Management Console (GPMC.msc) খুলুন → নতুন পলিসি (GPO) AddLocaAdmins তৈরি করুন → কম্পিউটারवाले OU-এ লিংক করুন (উদাহরণ: 'OU=Computers,OU=Munich,OU=DE,DC=woshub,DC=com')।

AD Group Policy দিয়ে লোকাল গ্রুপ ম্যানেজ করার দুটি পদ্ধতি:

• Group Policy Preferences (GPP);
• Restricted Groups।

GPO Preferences দিয়ে ডোমেইন ইউজারকে লোকাল অ্যাডমিনিস্ট্রেটরস গ্রুপে যোগ করা

Group Policy Preferences (GPP) সবচেয়ে ফ্লেক্সিবল ও সুবিধাজনক পদ্ধতি।

1. AddLocaAdmins GPO Edit মোডে খুলুন।
2. Computer Configuration → Preferences → Control Panel Settings → Local Users and Groups
3. New → Local Group
4. Action: Update (খুব গুরুত্বপূর্ণ!)
5. Group Name: Administrators (Built-in) সিলেক্ট করুন। (এই গ্রুপ রিনেম করা থাকলেও SID-দিয়ে কাজ করে: S-1-5-32-544)
6. Add বাটন → গ্রুপ সিলেক্ট করুন (মুনের কেসে munWKSAdmins)
7. ম্যানুয়ালি অ্যাড করা ইউজার/গ্রুপ রিমুভ করতে চাইলে Delete all member users এবং Delete all member groups চেক করুন। বেশিরভাগ কেসে এটি যুক্তিসঙ্গত কারণ শুধু নিযুক্ত ডোমেইন গ্রুপের অ্যাডমিন পারমিশন থাকবে। ম্যানুয়ালি অ্যাড করা ইউজার পরবর্তী পলিসি অ্যাপলাই হলে অটোমেটিক রিমুভ হয়ে যাবে।
8. পলিসি সেভ করুন → gpupdate /force রান করে অবিলম্বে অ্যাপলাই করুন।
9. lusrmgr.msc বা net localgroup Administrators দিয়ে চেক করুন – শুধু munWKSAdmins গ্রুপ থাকবে।

পলিসি অ্যাপলাই না হলে gpresult দিয়ে ডায়াগনোজ করুন। কম্পিউটার সঠিক OU-তে আছে কিনা এবং Group policy objects not being applied to computers আর্টিকেল চেক করুন।

Item-level Targeting দিয়ে গ্রানুলার কন্ডিশন সেট করা যায়। Common ট্যাব → Item-level targeting → Targeting → কন্ডিশন সেট করুন (যেমন: শুধু Windows 10 কম্পিউটার যাদের NetBIOS/DNS নামে adm নেই)।

ইনডিভিজুয়াল ইউজার অ্যাকাউন্ট এই পলিসিতে যোগ করা উচিত নয়। ডোমেইন সিকিউরিটি গ্রুপ ব্যবহার করুন। নতুন টেক সাপোর্ট যোগ করতে হলে শুধু ডোমেইন গ্রুপে যোগ করলেই হবে, GPO এডিট দরকার নেই।

Restricted Groups দিয়ে লোকাল অ্যাডমিনস গ্রুপ ম্যানেজমেন্ট

Restricted Groups পলিসিও ডোমেইন গ্রুপ/ইউজারকে লোকাল সিকিউরিটি গ্রুপে যোগ করতে দেয়। এটি পুরনো পদ্ধতি, কম ফ্লেক্সিবল (GPP-এর চেয়ে)।

1. GPO Edit মোডে খুলুন
2. Computer Configuration → Policies → Security Settings → Restricted Groups
3. Add Group → Administrators টাইপ করুন → OK
4. Members of this group সেকশনে Add → লোকাল অ্যাডমিনসে যোগ করার গ্রুপ সপেসিফাই করুন
5. চেঞ্জ সেভ করুন → পলিসি অ্যাপলাই → লোকাল Administrators গ্রুপ চেক করুন। শুধু পলিসিতে সপেসিফাইড গ্রুপ থাকবে।

GPO দিয়ে নির্দিষ্ট কম্পিউটারে একক ইউজারকে লোকাল অ্যাডমিন করা

কখনো নির্দিষ্ট কম্পিউটারে একক ইউজারের অ্যাডমিন প্রিভিলেজ দরকার হয় (যেমন: ডেভেলপাররা ড্রাইভার টেস্ট/ডিবাগ/ইনস্টল করতে চায়)। সেগুলো সব কম্পিউটারের Workstation Admins গ্রুপে যোগ করা ভালো নয়।

পূর্বে তৈরি AddLocalAdmins পলিসির GPP সেকশনে (Computer Configuration → Preferences → Control Panel Settings → Local Users and Groups) Administrators গ্রুপের জন্য নতুন এন্ট্রি তৈরি করুন:

• Action: Update
• Group Name: Administrators (Built-in)
• Description: Add amuller to the local administrators on the mun-dev-wsk21 computer
• Members: Add → amuller
• Common → Targeting ট্যাবে রুল: the NETBIOS computer name is mun-dev-wks24 (এই কম্পিউটারে মাত্র পলিসি অ্যাপলাই হবে)

Order GPP কলামে মনে রাখবেন: লোকাল গ্রুপ সেটিংস টপ থেকে বটমে আপ্লাই হয় (Order 1 থেকে শুরু)। প্রথম GPP পলিসি (Delete all member users/groups সেটিংসহ) সব ইউজার/গ্রুপ রিমুভ করে নিযুক্ত ডোমেইন গ্রুপ অ্যাড করে। তারপর কম্পিউটার-স্পেসিফিক পলিসিগুলো নির্দিষ্ট ইউজার অ্যাড করে। অর্ডার চেঞ্জ করতে GPO Editor কনসোলের টপ বাটনগুলো ব্যবহার করুন।