在我们的Windows环境中，我们的域pipe理员只有一个用户帐户。 这个单一的用户帐户被用于全天候的工作站上，包括运行。 在我们从这种做法转变的过程中，我们正在寻找关于如何设置Domain Admins的最佳实践。
明显的第一步是默认为低权限帐户并根据需要升级应用程序。 由于这是我们第一次采用这种设置，我们不知道我们应该寻找什么样的东西，以及我们应该做些什么样的改变。 而在更广泛的范围内，这对我们是否是SharePointpipe理员有什么影响？ Office 365pipe理员？ 等等..
那里有什么资源，或者你能提供什么？
@TheCleaner，我会采取相反的方针。
这些域pipe理员帐户的密码散列可能在你的networking周围，只是等待传递哈希scheme。 因此，我build议您立即从Domain Admins中删除这些帐户，并将其作为有限的用户使用。 （你还应该改变密码。）
这种方法还具有明显的优点，不需要任何configuration文件“巫术”，并希望不会改变像主目录这样的资源的任何权限，本来应该有用户命名的。 这也保留了Excahnge邮箱。
创build新的域pipe理员成员帐户login限制仅限于域控制器计算机。 除了login到域控制器计算机以外，这些帐户绝对不能用于其他用途，以限制其密码散列的暴露。
这将是一个艰难的过渡，而且您将遇到仅在客户端计算机上工作的情况，这是因为您的用户帐户隐式成为本地“pipe理员”组的成员。 你也许可以通过使用另一个组嵌套（比如说“前域pipe理员”）来让这个药丸更容易吞咽，以赋予这些账户本地pipe理员权限。 最终你也会想离开这个。
这是我的快速build议…因为您可以轻松地“倒退”在这一点，以得到你想要的。