Der Helpdesk-Gruppe wurde die Berechtigung „Passwort zurücksetzen“ für die OU „Benutzer“ delegiert. Sie können die Passwörter der meisten Benutzer zurücksetzen, aber nicht das Passwort eines Benutzers, der Mitglied der Domain Admins ist, obwohl dieses Benutzerkonto in derselben OU liegt. Sie müssen der Helpdesk-Gruppe erlauben, Passwörter für geschützte Konten zurückzusetzen, während die AdminSDHolder-Schutzmechanismen beibehalten werden. Was sollten Sie tun?

Geschützte Konten, wie Mitglieder der Gruppe „Domain Admins“, unterliegen dem AdminSDHolder-Mechanismus. Dieser Mechanismus stellt sicher, dass die Berechtigungen dieser Konten regelmäßig durch die DACL des Objekts „AdminSDHolder“ überschrieben werden, um eine konsistente Sicherheit zu gewährleisten. Um der Helpdesk-Gruppe das Zurücksetzen von Passwörtern für diese Konten zu ermöglichen, muss die Berechtigung „Passwort zurücksetzen“ direkt zur DACL von „CN=AdminSDHolder,CN=System,<domain DN“ hinzugefügt werden. Anschließend muss SDProp (Security Descriptor Propagator) ausgeführt werden, der standardmäßig alle 60 Minuten läuft, um diese Änderungen auf alle geschützten Konten zu übertragen. Die Aktivierung der Vererbung für ein geschütztes Konto ist keine dauerhafte Lösung, da SDProp die Vererbung wieder deaktivieren und die Berechtigungen des AdminSDHolder anwenden würde. Das Verschieben des Kontos in eine andere OU ändert nichts am Schutzstatus, da die Mitgliedschaft in einer geschützten Gruppe entscheidend ist. gpupdate /force ist für Gruppenrichtlinien relevant, nicht für direkte DACL-Änderungen an Active Directory-Objekten. Das Löschen des Attributs adminCount würde den Schutzmechanismus aufheben, was ein erhebliches Sicherheitsrisiko darstellt und nicht der Anforderung entspricht, die AdminSDHolder-Schutzmechanismen beizubehalten.