O Helpdesk recebeu a delegação de 'Redefinir senha' na OU 'Usuários'. Eles podem redefinir as senhas da maioria dos usuários, mas não conseguem redefinir a senha de um usuário que é membro do Domain Admins, mesmo que essa conta de usuário resida na mesma OU. Você precisa permitir que o grupo Helpdesk redefina as senhas para contas protegidas, mantendo as proteções do AdminSDHolder. O que você deve fazer?

Contas de usuário que são membros de grupos administrativos protegidos (como Domain Admins) são protegidas pelo AdminSDHolder. O SDProp (Security Descriptor Propagator) garante que as permissões dessas contas sejam redefinidas para as permissões definidas no AdminSDHolder a cada 60 minutos, sobrescrevendo quaisquer permissões herdadas ou explicitamente definidas no objeto do usuário. Para permitir que o grupo Helpdesk redefina senhas para essas contas protegidas, você deve modificar a DACL (Discretionary Access Control List) do objeto CN=AdminSDHolder,CN=System,<domain DN para conceder a permissão 'Redefinir senha' ao grupo Helpdesk. Após a modificação, o SDProp aplicará essas novas permissões a todas as contas protegidas. Habilitar a herança de permissões no objeto de usuário protegido não funcionará, pois o SDProp a desabilitará novamente. Mover a conta para outra OU não remove a proteção do AdminSDHolder. gpupdate /force não afeta as permissões de objetos do Active Directory. Limpar o atributo adminCount não é uma prática recomendada e pode comprometer a segurança.