Посмотреть локальных администраторов windows 10

В этой статье мы рассмотрим, как получить списки пользователей и групп, которым предоставлены права локальных администраторов на компьютерах и серверах Windows в вашей сети.

Просмотр локальных администраторов на локальном компьютере

В Windows вы можете просмотреть, добавить или удалить пользователей в локальной группе Administrators с помощью оснастки управления компьютером (
compmgmt.msc
). Разверните Computer Management -> Local users and Group -> Groups. Выберите группу Administrator.

По умолчанию на компьютере Windows, который добавлен в домен Active Directory, права администратора предоставляются локальным администраторам и доменной группе Domain Admins.

Все остальные пользователи или группу добавляются в группу администраторов отдельно (вручную, групповыми политиками, скриптами и т.д.).

Картинка с сайта: winitpro.ru

Чтобы вывести состав локальной группы Administrators, можно воспользоваться командлетом Get-LocalGroupMember из встроенного модуля Microsoft.PowerShell.LocalAccounts.

Get-LocalGroupMember -Group "Administrators"

Картинка с сайта: winitpro.ru

Обратите внимание, что в параметре Principal указан источник данного пользователя/группы. Это может быть Local, домен Active Directory или Azure AD.

Чтобы вывести только локальных пользователей с правами администратора:

Get-LocalGroupMember Administrators | Where-Object { (Get-LocalUser $_.SID -ErrorAction SilentlyContinue).Enabled }

Можно отфильтровать только пользователей из AD:

Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"} | select PrincipalSource,class,name,SID

Если на компьютере установлен модуль Active Directory for Windows PowerShell из пакета RSAT, вы можете получить дополнительную информацию о пользователях или группах AD по их SID.

В данном примере скрипт получит членов всех групп Active Directory, которые входят в состав локальных администраторов (список пользователей в группе AD получаем с помощью команды Get-ADGroupMember). Затем с помощью Get-ADUser мы получим SamAccountName и состояние учетной записи (Enabled = True/False)

$admins=Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"}
Foreach ($admin in $admins)
{
If ($admin.objectclass –eq "User") {get-aduser $admin.sid|select SamAccountName,enabled }
If ($admin.objectclass –eq "Group") {Get-ADGroupMember $admin.sid | foreach { Get-ADUser $_ |Select-Object SamAccountName,enabled }}
}

По аналогии вы можете получить любые другие атрибуты пользователей из Active Directory.

Получить список администраторов на удаленных компьютерах Windows

Рассмотренные выше пример позволяют получить список пользователей с правами администратора на локальном компьютере. Теперь рассмотрим, как удаленно получить состав группы локальных администраторов.

Для запуска команд на удаленных компьютерах должен быть настроен PowerShell Remoting (вы можете включить и настроить WinRM с помощью GPO) и открыт порт файервола TCP 5985 (вы можете открыть порт в Windows Defender Firewall через GPO).

Для выполнения команды на удаленном компьютере используется PowerShell командлет Invoke-Command. Следующая команда получит список администраторов на удаленном компьютере с именем wks-t1122:

Invoke-Command -ComputerName wks-t1122 -ScriptBlock{Get-LocalGroupMember -Name 'Administrators'|select Name,ObjectClass,PrincipalSource|ft}

Теперь рассмотрим, как получить список администраторов сразу с нескольких компьютеров. Для удобства мы сразу исключим группу Domain Admins из результатов:

$results = Invoke-Command wks-t112,srv-rds2 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike “*Domain Admins*”}|select Name,ObjectClass,PrincipalSource}
$results | Select-Object PSComputerName,Name,ObjectClass,PrincipalSource

Картинка с сайта: winitpro.ru

Можно экспортировать получившийся список пользователей и групп в CSV файл с помощью Export-CSV:

$results | Export-CSV "C:\PS\admins.CSV" -NoTypeInformation -Encoding UTF8

Вы можете опросить сразу множество компьютеров или серверов из домена. В данном примере я хочу получить список админов на всех Windows Server в AD. Получим список компьютеров с помощью Get-ADComputer:

$computers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows server*" -and enabled -eq "true"').Name

Теперь запросим состав группы администраторов на каждом хосте:
$results = Invoke-Command -ComputerName $computers -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike "*Domain Admins*"}|select Name,ObjectClass,PrincipalSource} -ErrorAction SilentlyContinue

Удалить пользователей из группы локальных администраторов Windows

Администраторам предприятия крайне важно следить за составом группы локальных администраторах на рабочих станция Windows и серверах в сети. Нужно минимизировать количество пользователей с правами администраторов.

Чтобы вручную удалить пользователя из группы локальных админов, можно использовать команду:

Remove-LocalGroupMember -Group Administrators -Member username

Можно удалить пользователя из группы удаленно:

Invoke-Command -ComputerName wks-t1122 –ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member username}

Но можно использовать более продвинутый сценарий. Допустим, вы сформировали список пользователей с правами администраторов на компьютерах и сохранили его в переменной $results.

$results = Invoke-Command wks-11,wks-22 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike “*Domain Admins*”}|select Name,ObjectClass,PrincipalSource,SID}

Затем выведем список пользователей и компьютеров в виде списка Out-GridView:

$principals_to_remove=$results | Out-GridView -Title "Select principal to remove from local admins" -OutputMode Multiple

Теперь вы должны выбрать в таблице пользователей, которых нужно удалить из группы администраторов (зажмите CTRL, чтобы выделить несколько строк в таблице), и выполнить код:

foreach ($principal in $principals_to_remove)
{
Invoke-Command $principal.PSComputerName -ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member $using:principal.name}
}

Картинка с сайта: winitpro.ru

Примечание. Конструкция
$using:principal.name
позволяет передать значение локальной переменной с вашего компьютера в удаленную сессию PSRemoting.

В результате, выбранные вами пользователи будут удалены из групп локальных администраторов на удаленных компьютерах Windows.

В Windows 10 и Windows 11 важно отслеживать пользователей и группы с правами локальных администраторов для обеспечения безопасности. В этой статье описано, как просмотреть состав группы Administrators на локальных и удалённых компьютерах, а также как удалить лишних администраторов с помощью Управления компьютером, PowerShell, Invoke-Command и групповых политик.

Приобрести оригинальные ключи активации Windows 11 можно у нас в каталоге от 1690 ₽

Просмотр локальных администраторов на локальном компьютере

Через Управление компьютером

1. Откройте оснастку Управление компьютером (Computer Management):

– Нажмите Win+R, введите compmgmt.msc.

Картинка с сайта: softcomputers.org

2. Перейдите в Локальные пользователи и группы (Local Users and Groups) → Группы (Groups).

3. Выберите группу Администраторы (Administrators).

– По умолчанию права администратора имеют локальная учётная запись Администратор и доменная группа Domain Admins (в домене Active Directory).
– Дополнительные пользователи или группы добавляются вручную, через скрипты или групповые политики.

Картинка с сайта: softcomputers.org

Через PowerShell

1. Выведите состав группы Администраторы:


Get-LocalGroupMember -Group "Administrators"


– Поле PrincipalSource указывает источник: Local, ActiveDirectory или AzureAD.

Картинка с сайта: softcomputers.org

2. Фильтрация локальных пользователей:


Get-LocalGroupMember Administrators | Where-Object { (Get-LocalUser $_.SID -ErrorAction SilentlyContinue).Enabled }


3. Фильтрация пользователей из Active Directory:


Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"} | Select PrincipalSource, ObjectClass, Name, SID


4. Получение подробной информации об AD-пользователях и группах (требуется модуль Active Directory из RSAT):


$admins = Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"}
foreach ($admin in $admins) {
if ($admin.ObjectClass -eq "User") { Get-ADUser $admin.SID | Select SamAccountName, Enabled }
if ($admin.ObjectClass -eq "Group") { Get-ADGroupMember $admin.SID | ForEach-Object { Get-ADUser $_ | Select-Object SamAccountName, Enabled } }
}


Просмотр администраторов на удалённых компьютерах

Для удалённого доступа требуется настроенный PowerShell Remoting (порт TCP 5985 открыт, WinRM включён через GPO).

На одном удалённом компьютере

Получите список администраторов на компьютере wks-t1122:


Invoke-Command -ComputerName wks-t1122 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators' | Select Name, ObjectClass, PrincipalSource | Format-Table}


На нескольких компьютерах

1. Исключите группу Domain Admins:


$results = Invoke-Command -ComputerName wks-t112, srv-rds2 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators' | Where-Object {$_.Name -notlike "*Domain Admins*"} | Select Name, ObjectClass, PrincipalSource}
$results | Select-Object PSComputerName, Name, ObjectClass, PrincipalSource


Картинка с сайта: softcomputers.org

2. Экспортируйте результаты в CSV:


$results | Export-CSV "C:\PS\admins.csv" -NoTypeInformation -Encoding UTF8


На всех серверах в домене

1. Получите список серверов Windows Server в Active Directory:


$computers = (Get-ADComputer -Filter 'OperatingSystem -like "*Windows Server*" -and Enabled -eq "True"').Name


2. Запросите администраторов:


$results = Invoke-Command -ComputerName $computers -ScriptBlock {Get-LocalGroupMember -Name 'Administrators' | Where-Object {$_.Name -notlike "*Domain Admins*"} | Select Name, ObjectClass, PrincipalSource} -ErrorAction SilentlyContinue


Удаление пользователей из группы администраторов

Для минимизации рисков важно ограничивать количество администраторов. Используйте Restricted Groups в групповых политиках для автоматического управления составом группы Administrators.

Ручное удаление

1. На локальном компьютере:


Remove-LocalGroupMember -Group Administrators -Member username


2. На удалённом компьютере:


Invoke-Command -ComputerName wks-t1122 -ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member username}


Массовое удаление через PowerShell

1. Соберите список администраторов:


$results = Invoke-Command -ComputerName wks-11, wks-22 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators' | Where-Object {$_.Name -notlike "*Domain Admins*"} | Select Name, ObjectClass, PrincipalSource, SID}


2. Выведите список в таблице Out-GridView:


$principals_to_remove = $results | Out-GridView -Title "Выберите пользователей для удаления из локальных администраторов" -OutputMode Multiple


3. Удалите выбранных пользователей:


foreach ($principal in $principals_to_remove) {
Invoke-Command -ComputerName $principal.PSComputerName -ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member $using:principal.Name}
}


Картинка с сайта: softcomputers.org

Примечание: Конструкция $using:principal.Name передаёт локальную переменную в удалённую сессию PSRemoting.

Устранение неполадок

– Команда Get-LocalGroupMember не работает:

– Убедитесь, что используется PowerShell 5.1 или выше.

– Запустите PowerShell с правами администратора.

– Ошибка доступа при удалённом выполнении:

– Проверьте, включён ли WinRM (Enable-PSRemoting).

– Убедитесь, что порт 5985 открыт (Test-NetConnection -ComputerName wks-t1122 -Port 5985).

– Пользователь не удаляется:

– Проверьте, не добавлен ли он через GPO (Restricted Groups).

– Убедитесь, что учётная запись не является встроенной (Administrator).

Рекомендации

– Безопасность: Минимизируйте количество администраторов, используя Restricted Groups в GPO.

– Мониторинг: Настройте аудит изменений группы Administrators в Просмотре событий (Event Viewer, журнал Безопасность (Security)).

– Резервное копирование: Перед удалением создайте точку восстановления.

Определение и управление локальными администраторами в Windows 10 и Windows 11 возможно через Управление компьютером, PowerShell и Invoke-Command. Автоматизация с помощью Restricted Groups и массовое удаление через Out-GridView упрощают контроль над правами. Эти методы обеспечивают безопасность и эффективность управления доступом в локальных и доменных средах.

In this article, we will look at how to get a list of users and groups that have local administrator rights on Windows workstations and servers on your network.

Find Local Administrators on the Local Computer

In Windows, you can use the Computer Management snap-in (compmgmt.msc) to view, add, or remove users in the local Administrators group. Expand Computer Management -> Local users and Group -> Groups. Then select the Administrators group.

By default, when a Windows computer is joined to an Active Directory domain, administrator rights are granted to local administrator users and the Domain Admins security group.

All other users or groups are added to the Administrators group separately (manually, via Group Policy, scripts, etc.).

List the members of the local Administrators group using PowerShell:

Get-LocalGroupMember -Group "Administrators"

Please note that the Principal parameter contains the source of this user/group, which can be the Local, Active Directory, or Azure AD domain.

This is how you can list only the local users who have administrator privileges:

Get-LocalGroupMember Administrators | Where-Object { (Get-LocalUser $_.SID -ErrorAction SilentlyContinue).Enabled }

You can filter the list to include only AD users:

Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"} | select PrincipalSource,class,name,SID

If the Active Directory for Windows PowerShell module from the RSAT package is installed on your computer, you can get additional information about AD users or groups by their SIDs.

In this example, the script finds the members of all Active Directory groups that are local administrators on this computer (the Get-ADGroupMember cmdlet is used to get the list of AD group users). Then the Get-ADUser is used to get the SamAccountName and the status of the account (Enabled = True/False).

$admins=Get-LocalGroupMember Administrators | Where-Object {$_.PrincipalSource -eq "ActiveDirectory"}
Foreach ($admin in $admins)
{
If ($admin.objectclass –eq "User") {get-aduser $admin.sid|select SamAccountName,enabled }
If ($admin.objectclass –eq "Group") {Get-ADGroupMember $admin.sid | foreach { Get-ADUser $_ |Select-Object SamAccountName,enabled }}
}

Similarly, you can get any other user attributes from Active Directory.

Get Local Administrators Group Member from Remote Computer

The above example gets the list of users with administrator rights on the local computer. Now let’s look at how to get the members of the local Administrators group from a remote Windows computer.

To run commands on remote computers, you must configure PowerShell Remoting and open the TCP 5985 firewall port. You can enable and configure WinRM (PSRemoting) using GPO, and then change your Windows Defender Firewall Group Policy settings to open an additional port.

Use the Invoke-Command PowerShell cmdlet to run a command on a remote computer. To list the administrators on the remote computer named wsk-m2211, use the following command:

Invoke-Command -ComputerName wsk-m2211 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|select Name,ObjectClass,PrincipalSource|ft}

Now let’s see how to get a list of administrators from multiple computers. For convenience, we will exclude the Domain Admins group from the results:

$results = Invoke-Command wsk-m2211,srv-sql01,srv-rds02 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike "*Domain Admins*"}|select Name,ObjectClass,PrincipalSource}
$results | Select-Object PSComputerName,Name,ObjectClass,PrincipalSource

Картинка с сайта: woshub.com

Use the Export-CSV command to export the resulting list of users and groups to a CSV file:

$results | Export-CSV "C:\PS\admins.CSV" -NoTypeInformation -Encoding UTF8

You can query multiple computers or servers from a domain simultaneously. In this example, I want to get a list of admins on all Windows Server hosts in AD. Use the Get-ADComputer cmdlet to list enabled Windows Server computers in Active Directory:

$computers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows server*" -and enabled -eq "true"').Name

Next, get the list of local Administrators group members on each host:

$results = Invoke-Command -ComputerName $computers -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike "*Domain Admins*"}|select Name,ObjectClass,PrincipalSource} -ErrorAction SilentlyContinue

Removing Users from the Local Administrators Group

Enterprise administrators need to keep track of the members of the local Administrators group on domain computers. The main idea is to minimize the number of users with local admin rights.

It is recommended that you use Group Policy Preferences or Restricted Groups to automatically add users to the local Administrators group. These GPOs will automatically add the required users to the Administrators group and will exclude all the other users (which are manually added).

You can manually remove a user from the local admins’ group with the command:

Remove-LocalGroupMember -Group Administrators -Member username

You can remove a user from a group on a remote computer:

Invoke-Command -ComputerName wsk-m2211 –ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member username}

However, there’s a more advanced method you can use. Suppose you have created a list of users with administrative privileges on computers and saved it in the $results variable.

$results = Invoke-Command wsk-m2211,wsk-m2233 -ScriptBlock {Get-LocalGroupMember -Name 'Administrators'|where {$_.name –notlike “*Domain Admins*”}|select Name,ObjectClass,PrincipalSource,SID}

Then display a list of users and computers in the form of an Out-GridView list:

$principals_to_remove=$results | Out-GridView -Title "Select principal to remove from local admins" -OutputMode Multiple

The next thing you have to do is to select the users you want to remove from the Administrators group (press and hold CTRL to select multiple rows in the table) and run the code:

foreach ($principal in $principals_to_remove)
{
Invoke-Command $principal.PSComputerName -ScriptBlock {Remove-LocalGroupMember -Group Administrators -Member $using:principal.name}
}

Картинка с сайта: woshub.com

Note. The $using:principal.name construct allows you to pass a local variable value from your computer to a remote PSRemoting session.

This will remove the users you have selected from the local Administrators group on the remote computers.