El servicio de asistencia (Helpdesk) tiene delegada la función 'Restablecer contraseña' en la OU 'Usuarios'. Pueden restablecer las contraseñas de la mayoría de los usuarios, pero no pueden restablecer la contraseña de un usuario que es miembro de Domain Admins, aunque esa cuenta de usuario resida en la misma OU. Debe permitir que el grupo Helpdesk restablezca las contraseñas de las cuentas protegidas manteniendo las protecciones de AdminSDHolder. ¿Qué debe hacer?

La respuesta correcta es modificar la DACL en CN=AdminSDHolder,CN=System,<domain DN para otorgar al grupo Helpdesk el permiso 'Restablecer contraseña' y luego esperar a que SDProp lo aplique. Las cuentas de usuario que son miembros de grupos administrativos protegidos (como Domain Admins) están protegidas por el proceso AdminSDHolder/SDProp. Este proceso copia los permisos de AdminSDHolder a estas cuentas, sobrescribiendo cualquier permiso heredado o explícito establecido directamente en ellas, para evitar la escalada de privilegios. Para permitir que Helpdesk restablezca contraseñas de estas cuentas, el permiso debe agregarse directamente al objeto AdminSDHolder. Habilitar la herencia de permisos en el objeto de usuario protegido no funcionará porque SDProp sobrescribiría esos permisos. Mover la cuenta a una OU diferente tampoco funcionará por la misma razón. Ejecutar gpupdate /force no afecta los permisos de objetos de Active Directory. Borrar el atributo adminCount eliminaría las protecciones de AdminSDHolder, lo cual no es deseable ya que el requisito es mantener las protecciones.