Hi OSJF.

Also bei uns läuft das anders. Im AD halten wir uns an die von MS empfohlene Gruppenstrategie:
DomainUser -> GlobalGroup -> DomainLocalGroup -> Permission -> Resource

D.h.

User1, User2 ... usw.
  -> GL_WSUS_XY_Operatoren
     -> DL_WSUS_XY_Operatoren
        ->  (L_)WSUS-Administratoren (lokale Gruppe auf dem WSUS-Server)
           -> {Rechte im WSUS} (wird von WSUS selbst definiert und umgesetzt)

Die DL-Gruppe kann auch Mitglied in lokalen WSUS-Admin-Gruppen auf mehrerer WSUS-Server sein.

Die WSUS-Admins/Operatoren melden sich mit Ihrer Domänen-Kennung auf dem eigene XP-Client an.
Dort ist lokal die WSUS-Konsole installiert, in der diese den WSUS-Server hinzufügen und entsprechend verwalten können.

Da diese "Operatoren" in der Regel auf WSUS-Replika-Server ihres Standortes zugreifen, sind natürlich diverse Funktionen deaktiviert / nicht verfügbar.
Aber über das Integrieren / Entfernen von Clients und die Analyse deren Updatesituation usw. haben sie schon vollständig Kontrolle.

Das Anpassen des Updateumfangs (Kategorien / Spachen / etc.), die Genehmigungen zur Installation und die Gruppendefinition bleibt ausschließlich beim WSUS-Master-Server im Haupstandort.  

Gleiches haben wir auch für die "Berichterstatter" realisiert ... es wollen auch Chef's ins WSUS schauen ... warum auch immer.
Diese haben dann nur Analyserechte und können so nix kaputt machen.  

Und so funzt es wunderprächtig.
Alle wissen was Sie dürfen ... und die Arbeit wird auf mehrere Schultern verteilt.

Mit einem "normalen" Account am Server anmelden ??? - ist das nicht problematisch ???  

Gruß
Dani