ad怎么设置权限：AD域允许普通用户打开需要管理员权限的软件

ad怎么设置权限：AD域允许普通用户打开需要管理员权限的软件

常用的解决方案：runas / runasspc / cpaurunas

使用 Windows 内部命令 runas，通常可以使用它来执行安装程序，即可不用切换用户来安装。有关 runas 命令请参考 Microsoft 官方文档：https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/cc771525(v=ws.11)，本文只做简要介绍。

命令参考

域管理员认证 runas /profile /env /user:域\用户 程序路径不足

1. 有的程序使用 runas 还是无法执行，例如：美图秀秀。
2. 当使用脚本时，包含 runas 的 bat 脚本中管理员账号密码是明文，可以使用 runasspc 进行包装，生成 exe 从而实现加密。

runasspc

第三方工具，可以代替 runas，解决 runas 中账号密码明文问题，与 cpau 类似，会生成一个加密文本，用于存储程序位置，帐号及密码，且使用一个 exe 来调用该加密文件，从而以其他身份运行程序。且该软件是有图形界面，使用比较简单，支持域管理员认证。

cpau

第三方工具，可以代替 runas，解决 runas 中账号密码明文问题，它会将程序位置，账号及密码，加密存储到一个文本文件中，再调用文本文件来执行程序。命令行模式，更方便对接其他系统。

命令参考

域管理员认证： d:\cpau.exe -u 域\拥有域管理员权限的用户 -p 密码 -ex 程序路径 -lwp -enc -file 加密后的文本文件存储路径 本机管理员认证： d:\cpau.exe -u .\拥有本机管理员权限的用户 -p 密码 -ex 程序路径 -lwp -enc -file 加密后的文本文件存储路径 执行程序： d:\CPAU.exe -dec -file 加密后的文本文件存储路径 -lwp不足

1. 在使用网络路径时会有问题。
2. 有的程序，仍旧无法运行，例如：美图秀秀。

不好的解决方案：将域用户加入本地 administrators 组

有人说这个没办法解决，因为 Microsoft 或 域 并没有提供这样的解决方案，建议将使用该电脑的域用户加入本地电脑的administrators 组。但是每当这个电脑换一个员工使用，并且同样拥有这样的软件，那么也得将域用户加入 administrators 组，且用户将拥有本地电脑的所有权限，包括安装软件。有人又说，这个可以通过组策略或者其他方式来禁止用户安装软件。但是对于一个不清楚"administrator 权限"和"普通用户权限"的人员来说，又增加了维护的难度。在普通用户权限上做加法更容易，还是在"administrator 权限"上做减法更容易？至少对于目前来说，个人时是不太喜欢这种方式的。