For å finne lokale administratorkontoer må du liste opp medlemmene av den lokale administratorgruppen på hvert Windows-endepunkt, ikke bare de du vet at du har gitt administratorrettigheter. Gruppen samler kontoer fra flere steder: den innebygde administratorkontoen, brukere som ble lagt til under oppsettet, grupper fra Active Directory eller Microsoft Entra ID og oppføringer som bare står igjen som en sikkerhetsidentifikator (SID). Hvert medlem har faste lokale administratorrettigheter, som virker hver dag uten forespørsel og uten tidsbegrensning.
Det er også derfor så mange av disse kontoene går under radaren. Når rettigheter heves ved behov, registrerer loggen over hevinger hver tildeling. Kontoer som allerede er administratorer, har ingen grunn til å be om heving, så de dukker aldri opp i den loggen.
Hvorfor lokale administratorkontoer går under radaren
Mange faste administratorrettigheter blir ikke delt ut med vilje. De følger med måten enheten settes opp på, og blir værende fordi ingen sjekker igjen.
- Standardvalg ved oppsett. Når en Windows-enhet meldes inn i Microsoft Entra ID, blir brukeren som gjør innmeldingen, lagt til i den lokale administratorgruppen som standard, sammen med to Entra-roller, ifølge Microsoft. Microsoft påpeker at dette bare skjer under innmeldingen, så senere endringer må gjøres på selve enheten. En bærbar PC som brukeren satte opp selv, beholder den brukeren som administrator til noen fjerner den.
- Rester. En konto som ble lagt til for én installasjon, et leverandørbesøk eller en supportøkt, blir sjelden fjernet når jobben er gjort.
- Oppføringer som ikke kan slås opp. Når en konto eller gruppe slettes, eller kommer fra en katalog enheten ikke får slått opp i, kan gruppen beholde oppføringen som en naken SID. Ingen kjenner den igjen, så ingen fjerner den.
Gruppen viser heller ikke alt. Microsoft skriver at brukere med Entra-rollen Microsoft Entra Joined Device Local Administrator ikke står oppført i gruppen med navn: rettighetene følger med påloggingstokenet deres. Gruppen forteller deg hvem som er medlem, ikke hver konto som kan opptre som administrator.
Slik sjekker du lokale administratorer med PowerShell
På én enhet lister én kommando opp medlemmene av gruppen:
Get-LocalGroupMember -SID "S-1-5-32-544" |
Select-Object Name, SID, PrincipalSource, ObjectClassVi bruker gruppens faste SID, S-1-5-32-544, i stedet for navnet. På norsk Windows heter gruppen Administratorer, ikke Administrators, og SID-en er den samme på alle språk.
De fire kolonnene svarer på fire spørsmål:
- Name: hvilken konto eller gruppe som er medlem. En oppføring enheten ikke kan slå opp, kan stå her med bare SID-en.
- SID: sikkerhetsidentifikatoren. Den innebygde administratorkontoen er den med en SID som slutter på -500.
- PrincipalSource: hvor medlemmet kommer fra. Microsofts referanse for kommandoen nevner Local, Active Directory, Microsoft Entra group og Microsoft Account. På en Entra-innmeldt enhet vises Entra-medlemmer som AzureAD.
- ObjectClass: om medlemmet er en bruker eller en gruppe. Oppføringer enheten ikke kan slå opp, kan vises som Other. En gruppe krever en ekstra kikk, fordi alle i den også er administratorer.
Les resultatet opp mot et enkelt spørsmål: Har noen bestemt at dette medlemmet hører hjemme her? En lokal konto med navnet til en person, eller en brukerkonto fra oppsettet, har som regel ikke det.
En praktisk felle fra samme referanse: Modulen som kommandoen kommer fra, finnes ikke i 32-biters PowerShell på et 64-biters system, så kommandoen feiler i et skript som et 32-biters verktøy starter. Den eldre kommandoen net localgroup Administratorer kan utelate Entra-medlemmer helt, så den er ikke en pålitelig kontroll på Entra-innmeldte enheter.
Slik finner du lokale administratorkontoer på mange enheter
For å dekke mer enn én enhet kjører du den samme kommandoen eksternt med Invoke-Command og samler resultatet i én fil:
Invoke-Command -ComputerName PC01, PC02 -ScriptBlock {
Get-LocalGroupMember -SID "S-1-5-32-544"
} | Select-Object PSComputerName, Name, PrincipalSource |
Export-Csv -Path .\lokale-administratorer.csv -NoTypeInformationDet fungerer, men det har tre begrensninger: Det krever PowerShell-fjernstyring på hvert endepunkt, enheter som er frakoblet når skriptet kjører, mangler, og du ser bare tilstanden den dagen det kjørte. Noen må også eie skriptet og kjøre det igjen neste kvartal.
Hvis virksomheten din bruker Microsoft Intune, kan profilen Local user group membership legge til, fjerne eller erstatte medlemmer av administratorgruppen på Windows-enheter. Det er policy: Den beskriver hvordan gruppen skal se ut. Hva gruppen faktisk inneholder på hver enhet, er et annet spørsmål, og det er det et inventar svarer på.
Godkjent, ikke godkjent eller ukjent: dette ser du etter
Det går raskt å lese listen når du sorterer hvert medlem i én av tre grupper.
- Godkjent. Kontoer og grupper du har bestemt at hører hjemme der, for eksempel en administrert innebygd administratorkonto eller en egen supportgruppe. Skriv listen ned. Uten den starter hver gjennomgang med synsing.
- Ikke godkjent. Navngitte kontoer som ikke står på listen, som regel brukere som fikk administratorrettigheter ved oppsettet eller for én oppgave. Det er disse kontoene du fjerner først.
- Ukjent. Oppføringer med en SID og uten navn. En SID som ikke kan slås opp, kan peke på en slettet konto, en katalogidentitet enheten ikke får slått opp, eller en av Entra-rollene som ble lagt til ved innmeldingen, og de hører hjemme der. Finn ut hvor hver oppføring kommer fra før du fjerner den, og behandle alle som ingen kan forklare, som et funn.
Gjenta gjennomgangen jevnlig, ikke bare før en revisjon. Nye enheter kommer med nye standardvalg, og en liste som var ryddig i vår, kan ha glidd ut innen høsten.
Slik viser CapaOne lokale administratorer på Windows-endepunkter
I CapaOne Endpoint Management Platform holder Security Monitor de lokale administratorene på hvert administrerte Windows-endepunkt opp mot en liste du godkjenner. Agenten rapporterer gruppen som en del av endepunktets sikkerhetsinventar, så visningen viser det hvert endepunkt sist rapporterte, uten at noen må kjøre et skript. Visningen Local Administrators viser hvor mange endepunkter som er i samsvar med listen, hvor mange administratorer som ikke er godkjent, og hvor mange oppføringer som er orphaned, produktets ord for SID-er som ikke kan slås opp. En liste over endepunktene gir de samme tallene per enhet, og når du åpner et endepunkt, ser du hver konto med type, navn og kilde.
En KI-assistent kan nå de samme dataene gjennom CapaOne MCP Server. Serveren er i beta og svarer på spørsmål ut fra levende CapaOne-data, også om lokale administratorer, enhet for enhet. Som i konsollen krever slike sikkerhetsdata Security Monitor.
Fra å finne til å fjerne faste administratorrettigheter
Å finne kontoene er halve jobben. Å fjerne dem varer bare hvis brukerne fortsatt kan gjøre oppgavene som fikk noen til å gi dem administratorrettigheter i utgangspunktet. Ellers er rettighetene tilbake innen en uke.
Privilege Manager, en del av den samme plattformen, tar den andre halvdelen. Den lar en policy bestemme hvilket program eller hvilken oppgave som får administratorrettigheter, og hvor lenge, og den registrerer hver heving. Siden vår om styring av administratorrettigheter forklarer hvordan du fjerner faste rettigheter uten å stoppe folks arbeid, innlegget om hvorfor du bør fjerne lokale administratorrettigheter viser hva det betyr for angrep som slår av sikkerhetsverktøy, og feltene en revisor forventer i en logg over hevinger dekker dokumentasjonssiden.
De to produktene svarer på forskjellige spørsmål. Security Monitor viser hvem som har administratorrettigheter i dag. Privilege Manager viser hvem som brukte hevede rettigheter, når og til hva. Sammen dekker de både de faste rettighetene og de midlertidige.
For å hindre at nye faste administratorer dukker opp, endrer du standardvalget ved oppsett. Microsofts veiledning om Entra-innmelding beskriver hvordan policyen for enhetsregistrering, eller en Windows Autopilot-profil, kan hindre at brukeren som melder inn en enhet, blir lokal administrator.