Хелп деск в домене

[Anteonesko]

Всем доброго дня, не ругайте сильно, если вопрос сильно нубский.
Есть домен, до сегодняшнего дня я был единственным администратором в фирме.
Сейчас взяли второго человека, который будет заниматься пользователями.
В какую группу пользователей его нужно добавить, чтобы по его логину и паролю можно было ставить программы и изменять настройки, скажем, сети, но он не мог нанести вреда серверам?

На скрине моя учетная запись.

[WindowsNT]

Ставить программы = права администратора.
Права администратора = нанести вред.
В такой постановке вопроса задача нерешабельна.

[Anteonesko]

хм... хорошо. но если сделать этого пользователя 2м администратором домена, ограничить доступ к удаленному рабочему столу сервера можно?

[WindowsNT]

Если он будет администратором _домена_, то никак и ничем на контроллерах его ограничить нельзя. Он же администратор.

[cameron]

посмотрите Resticted Groups
ну и делегирование в АД

[uel]

Во-во, как сказала cameron, пусть будет локальным админом на юзерских ПК, но юзером в домене, особого вреда не нанесет.

[Anteonesko]

Спасибо, будем копать.
Тему можно закрыть.