Le service d'assistance s'est vu déléguer la permission « Réinitialiser le mot de passe » sur l'unité d'organisation (OU) « Utilisateurs ». Ils peuvent réinitialiser les mots de passe de la plupart des utilisateurs, mais ne peuvent pas réinitialiser le mot de passe d'un utilisateur membre de Domain Admins, même si ce compte utilisateur réside dans la même OU. Vous devez permettre au groupe du service d'assistance de réinitialiser les mots de passe des comptes protégés tout en maintenant les protections AdminSDHolder en place. Que devriez-vous faire ?

La modification de la DACL sur CN=AdminSDHolder,CN=System,<domain DN pour accorder au groupe Helpdesk la permission « Réinitialiser le mot de passe » est la bonne approche. AdminSDHolder protège les comptes privilégiés (comme les membres de Domain Admins) en écrasant leurs permissions avec celles définies sur AdminSDHolder toutes les 60 minutes par le processus SDProp. En modifiant AdminSDHolder, vous autorisez le Helpdesk à réinitialiser les mots de passe de ces comptes tout en maintenant la protection générale qu'AdminSDHolder offre. Activer l'héritage des permissions sur l'objet utilisateur protégé ne fonctionnerait pas, car SDProp écraserait ces modifications. Déplacer le compte utilisateur protégé ne supprimerait pas la protection AdminSDHolder. Exécuter gpupdate /force n'affecte pas les permissions de sécurité Active Directory. Effacer l'attribut adminCount n'est pas une solution recommandée car cela contournerait les protections de sécurité importantes.