L'Helpdesk ha ricevuto la delega per il 'Reset password' sull'OU 'Users'. Possono reimpostare le password della maggior parte degli utenti, ma non possono reimpostare la password di un utente membro di Domain Admins, anche se l'account utente risiede nella stessa OU. È necessario consentire al gruppo Helpdesk di reimpostare le password per gli account protetti mantenendo attive le protezioni di AdminSDHolder. Cosa dovresti fare?

La risposta corretta è modificare la DACL su CN=AdminSDHolder,CN=System,<domain DN per concedere al gruppo Helpdesk il permesso 'Reset password', quindi attendere l'applicazione di SDProp. Gli account utente membri di gruppi protetti (come Domain Admins) sono protetti da AdminSDHolder. SDProp copia le autorizzazioni da AdminSDHolder a questi account, sovrascrivendo le autorizzazioni ereditate o delegate direttamente sull'oggetto utente. Per consentire all'Helpdesk di reimpostare le password per questi account mantenendo la protezione di AdminSDHolder, è necessario modificare le autorizzazioni su AdminSDHolder stesso. Abilitare l'ereditarietà dei permessi sull'oggetto utente protetto non funzionerebbe perché SDProp la disabilita regolarmente. Spostare l'account utente protetto in un'OU diversa non ha effetto, poiché la protezione è basata sull'appartenenza al gruppo, non sulla posizione dell'OU. Eseguire gpupdate /force non è rilevante, poiché le autorizzazioni di Active Directory non sono gestite da Criteri di gruppo in questo contesto. Cancellare l'attributo adminCount rimuoverebbe la protezione di AdminSDHolder, il che non è l'obiettivo.