Как добавить пользователя Azure Active Directory в группу локальных администраторов

В Windows 10 вы можете присоединиться к организации (=Azure Active Directory) и войти с помощью своих облачных учетных данных.

Согласно предоставленной информации здесь, первая учетная запись на компьютере, которая присоединяется к организации, является локальным администратором. Учетные записи, которые присоединяются после этого, таковыми не являются.

Как сделать их локальными администраторами?

Стандартный диалог добавления группы не позволяет мне выбирать пользователей из AzureAD, искать пользователей из AzureAD. Я просто вижу, что моя первая учетная запись находится в списке (указана как AzureAD\ИмяУчетнойЗаписи).

Интересно также:
Когда я вхожу со второй учетной записью и мне предлагается ввести локального администратора (для применения настроек компьютера – я предполагаю, UAC), первая учетная запись не принимается, хотя она является локальным администратором.

Вы можете сделать это через командную строку! У меня была такая же проблема, и после поиска и получения только “вы не можете” отовсюду, я (для развлечения) попробовал это через командную строку, и ЭТО СРАБОТАЛО!!

1. Войдите на ПК как пользователь Azure AD, которому вы хотите предоставить права локального администратора. Это загрузит GUID на ПК.

2. Выйдите как этот пользователь и войдите как пользователь с правами локального администратора.

3. Откройте командную строку от имени администратора и с помощью командной строки добавьте пользователя в группу администраторов. Например, если у меня есть пользователь по имени Джон Доу, команда будет net localgroup administrators AzureAD\JohnDoe /add. (Примечание: это их отображаемое имя, например, их имя пользователя может быть [email protected] — проверьте название папки пользователя в C:\Users и используйте то же имя, добавив AzureAD\)

Снова войдите как этот пользователь, и теперь он будет локальным администратором.

Я нашел этот документ Microsoft, связанный с этим вопросом:
“Подключение к удаленному ПК, присоединенному к Azure Active Directory”.

Вы можете указать отдельные учетные записи Azure AD для удаленных подключений, посоветовав пользователю войти на удаленном устройстве хотя бы один раз, а затем запустить следующую команду PowerShell:

net localgroup "Пользователи удаленного рабочего стола" /add "AzureAD\UPN-атрибут-вашего-пользователя"

где FirstnameLastname – это имя профиля пользователя в C:\Users, которое создается на основе атрибута DisplayName в Azure AD.

Эта команда работает только для пользователей устройств AADJ, уже добавленных в любую из локальных групп (администраторов). В противном случае эта команда вызывает следующую ошибку. Например:

• Для облачного пользователя: “Нет такого глобального пользователя или группы: имя”
• Для синхронизированного пользователя: “Нет такого глобального пользователя или группы: имя”

В Windows 10, версии 1709, пользователю не нужно сначала входить на удаленное устройство.

В Windows 10, версии 1709, вы можете добавлять других пользователей Azure AD в группу Администраторов на устройстве в Настройках и ограничивать удаленные учетные данные для Администраторов. Если возникли проблемы с удаленным подключением, убедитесь, что оба устройства подключены к Azure AD и что TPM работает должным образом на обоих устройствах.

Пожалуйста, имейте в виду это предложение:

В Windows 10, версии 1709, пользователю не нужно сначала входить на удаленное устройство.

Я только что попал сюда с похожей проблемой – как добавить моего пользователя Azure в локальную группу “Администраторы Hyper-V”.

Помимо лучшего ответа (спасибо!), оказывается, вы также можете использовать следующую команду PowerShell:

PS> ([adsi]"WinNT://./Hyper-V Administrators,group").Add("WinNT://$env:UserDomain/$env:Username,user")

которую я нашел на https://docs.okd.io/latest/minishift/troubleshooting/troubleshooting-driver-plugins.html#troubleshooting-driver-hyperv

Попробуйте эту команду PowerShell с учетной записью локального администратора, которую вы уже имеете.

Add-LocalGroupMember -Group administrators -Member AzureAD\*UPN*

Согласно моему опыту, также нет возможности добавить одну учетную запись AAD в группу локальных администраторов.
Вы можете добавить дополнительных администраторов для ВСЕХ устройств, которые присоединились к Azure AD. Вы можете сделать это через консоль Azure на https://manage.windowsazure.com, для чего вам нужна лицензия AAD). Вы можете найти эту опцию, щелкнув на имя вашего арендатора и перейдя на вкладку “настройка”. Найдите раздел “устройства”.

Это означает, что двое пользователей AAD не могут быть локальными администраторами на одном устройстве одновременно, если один из пользователей не является глобальным администратором для всех устройств…
В случае, если необходимо изменить владельца Windows-машины, и это также требует прав локального администратора на конкретной машине, вам нужно будет выйти из AAD и повторно войти с помощью новой учетной записи владельца.

Я попробовал это, и к моему удивлению встроенный локальный администратор не имел разрешений для присоединения к Azure AD. Нажатие на кнопку не дало никакого ответа. Только после добавления другой учетной записи локального администратора и входа локально с этим пользователем я смог начать процесс присоединения. На экране входа я указал пользователя Azure AD/0365. Эта учетная запись правильно стала локальным администратором.

Смотрите также блог ниже:

Присоединение Azure AD Windows 10

PS C:\WINDOWS\system32> Get-ComputerInfo | Select-Object -ExpandProperty WindowsVersion
2004
PS C:\WINDOWS\system32> net localgroup administrators /add "AzureAD\[email protected]"

Начиная с выпуска Windows 10 версии 1709, вы можете выполнить эту задачу
из Настройки -> Учетные записи -> Другие пользователи. Выберите “Добавить рабочего или школьного пользователя”, введите UPN пользователя в поле “Учетная запись пользователя” и выберите
“Администратор” в разделе “Тип учетной записи”

Кроме того, вы также можете добавлять пользователей с помощью командной строки: Если ваши пользователи арендатора созданы в Azure AD, используйте net localgroup administrators /add "AzureAD\UserUpn“

Для самой обновленной версии, пожалуйста, посетите: https://learn.microsoft.com/en-us/azure/active-directory/devices/assign-local-admin#manually-elevate-a-user-on-a-device