Accountrechten instellen op Windows 10- of 11-apparaten

Deze functie wordt ondersteund in de volgende versies: Frontline Starter, Frontline Standard, Frontline Plus, Business Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Endpoint Education Upgrade, Enterprise Essentials, Enterprise Essentials Plus en Cloud Identity Premium. Versies vergelijken

Als beheerder kunt u de instelling wijzigen voor het lokale beheerdersrechtenniveau dat een gebruiker kan hebben op Microsoft Windows 10- of 11-apparaten. U kunt ze bijvoorbeeld beperkte of volledige toegang geven. Dit recht wordt toegewezen aan het Windows-account dat is gekoppeld aan het Google-account van een gebruiker, niet aan het Google-account van een gebruiker.

Je kunt ook beheerdersrechten toewijzen aan andere bestaande Windows-accounts. Deze accounts kunnen lokaal zijn op het apparaat of Microsoft Active Directory-gebruikers en -groepen, zelfs als ze nog niet zijn ingelogd op het apparaat.

Voordat u begint

Als je lokale beheerdersrechten wilt geven, moet het apparaat onder Windows-apparaatbeheer vallen.

Beheerdersrechten instellen

Voordat u begint: Als u een afdeling of team wilt instellen voor deze instelling, gaat u naar Een organisatie-eenheid toevoegen.

Met deze instelling kunt u de lokale beheerderstoegang beheren voor gebruikers van Google-referentieprovider voor Windows (GCPW). Een GCPW-gebruiker kan een standaardgebruiker of een lokale beheerder zijn.

Het systeem gebruikt de Microsoft LocalUsersAndGroups Configuration Service Provider (CSP) tijdens de apparaatsynchronisatie om deze rechteninstellingen toe te passen. Als Lokale beheerderstoegang tot apparaten beheren aanstaat in de Google Beheerdersconsole, verwerkt de CSP de configuratie om lokale beheerdersrechten te geven aan GCPW-gebruikers en de bestaande Active Directory-gebruikers, -groepen of lokale Windows-gebruikers die zijn opgenomen in het veld Accounts met lokale beheerderstoegang.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Apparaten en dan Mobiel en eindpunten en dan Instellingen en dan Windows.

    Hiervoor is het beheerdersrecht Beheer van mobiele apparaten vereist.

  2. Klik op Accountinstellingen.
  3. (Optioneel) Als je de instelling wilt toepassen op een afdeling of team, selecteer je aan de zijkant een organisatie-eenheid.
  4. Selecteer Aangezet bij Waarde.

  5. Stel de accountrechten in voor GCPW-gebruikers:

    • Als u gebruikers een standaardaccount zonder beheerdersrechten wilt geven, selecteert u bij Gebruikersaccounttype de optie Standaardgebruiker.

    • Als je gebruikers lokale beheerdersrechten wilt geven, selecteer je bij Type gebruikersaccount de optie Lokale beheerder.

      Windows-beperking: GCPW-gebruikers worden toegevoegd aan de beheerdersgroep nadat ze voor het eerst hebben ingelogd en hun apparaat is gesynchroniseerd. De instelling voor hun accountrechten wordt pas van kracht nadat ze opnieuw hebben ingelogd.

  6. (Optioneel) Als u lokale beheerdersrechten wilt geven aan bestaande Active Directory-gebruikers, Active Directory-groepen of lokale Windows-gebruikersaccounts, voegt u deze toe in het veld Accounts met lokale beheerderstoegang. Gebruik de volgende indelingen en scheid meerdere waarden met komma's:

    • Active Directory-gebruikers: UwDomein\gebruiker (bijvoorbeeld UwDomein\jsmit)
    • Active Directory-groepen: UwDomein\groep (bijvoorbeeld UwDomein\jsmit, UwDomein\Win11beheerders)
    • Lokale gebruikers: gebruikersnaam (bijvoorbeeld lrayes, UwDomein\jsmith, rnguyen, UwDomein\Win11admins, hcampbell, bkwan)

    Als u een accountnaam invoert die niet bestaat, wordt er geen nieuw account gemaakt op het apparaat. Niet-bestaande accounts worden genegeerd en de resterende geldige accounts worden verwerkt. Als je gebruikers- of groepsnamen verwijdert uit het veld Accounts met lokale beheerderstoegang, worden ze niet verwijderd uit de groep Lokale beheerders. De verwijderde namen worden niet toegevoegd tijdens toekomstige apparaatsynchronisaties.

    Belangrijk: We raden je aan het veld Accounts met lokale beheerderstoegang niet te gebruiken. Dit veld bestaat alleen voor historische doeleinden en is waarschijnlijk niet nodig.

  7. Klik op Opslaan. U kunt ook op Overschrijven klikken voor een organisatie-eenheid.

    Als u de overgenomen waarde later wilt herstellen, klikt u op Overnemen.

Problemen oplossen

Als beheerdersinstellingen niet worden toegepast zoals u wilt, kunt u de gebeurtenislogboeken voor apparaatbeheer op het Windows-apparaat controleren voor gedetailleerde diagnostische informatie.

Zo bekijkt u de gebeurtenislogboeken voor apparaatbeheer:

  1. Open de Gebeurtenisviewer op het doelapparaat. Je vindt de Gebeurtenisviewer door ernaar te zoeken in het Windows-startmenu.
  2. Ga naar Logboeken voor apps en services en dan Microsoft en dan Windows en dan DeviceManagement-Enterprise-Diagnostics-Provider en dan Beheerder.
  3. Controleer de gebeurtenissen die zijn gerelateerd aan de CSP LocalUsersAndGroups.

Voorbeeldlogboeken:

MDM PolicyManager: Set policy string, Policy: (Configure), Area: (LocalUsersAndGroups), EnrollmentID requesting set: (<Enrollment GUID>), Current User: (Device), String: (<GroupConfiguration><accessgroup desc="<Target Group>"<group action="U" /><add member="TEST_DEVICE\test1"/></accessgroup></GroupConfiguration>), Enrollment Type: (0x0), Scope: (0x0), Result: (0x80070534) No mapping between account names and security IDs was done.

Overzicht: Verbeterde desktopbeveiliging voor Windows


Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.