AD環境でメンバーサーバーのインストール権限

Question

AD環境でメンバーサーバーが1000台あるのですが、それらにアプリケーションをインストール・実行する必要があります。アプリケーションはセキュリティ関連のものです。
ユーザーをAD内で作成して、リモートデスクトップユーザーとServer Operatorグループに所属させましたが、担当者からインストール・実行ができないと言われました。Backup Operatorsでもいけるのではと人に言われましたが、バックアップやリストア用途でしか使えないのではと思っています（テストはしてません）
特権を使わぬよう言われているので、Domain AdminsやローカルのAdministratorsに入れないでdomain userでインストール・実行を実現する方法（グループやGPOなどで）はありますでしょうか。ご教示頂けますようお願いいたします。

Answer 1

制限されたグループで構成できるローカルの権限は Administrators に限りませんので、Power Users を指定することも可能です。Power Users の権限については以下の資料を参照してください。

セキュリティ識別子 | Microsoft Learn

『 Power Users は、ローカル ユーザーとグループを作成し、作成したアカウントを変更および削除し、ユーザーを Power Users、Users、および Guests グループから削除することができます。 また、Power Users はプログラムをインストールし、ローカル プリンターを作成、管理、削除し、ファイル共有を作成および削除することもできます。』

グループ ポリシー（セキュリティ ポリシー）のユーザー権限を個別に設定することも不可能ではありませんが、それらの権限をまとめたものがビルトイン グループとして用意されているので、そちらを利用する方が無難でしょう。

なお実際にどのようなアプリケーションのインストールを行うのかによりますが、現在のほとんどのアプリケーションは Users でユーザー単位にインストールするか、Administrators でマシングローバルにインストールするかのいずれかを想定してテストしているので、インストールでのトラブルを避けるのであれば Administrators 権限の利用を検討された方が良いかもしれません。

Answer 2

Hebikuzureさん

いつもお世話になっています、パセリンです。

返信いただきありがとうございました。

チャブーンさんにも回答いたしましたが、

実際にPower Usersにドメインのアカウントを追加してインストールしてみましたが、やはりインストールはできませんでした。

ローカルadministratorsに該当ドメインアカウントを追加する許可を得ましたので、administrators権限で実施することになりました。

お忙しいところありがとうございました。

今後ともよろしくお願いいたします。