ヘルプデスクには、「Users」OU の「パスワードのリセット」が委任されました。ほとんどのユーザーのパスワードをリセットできますが、Domain Admins のメンバーであるユーザーのパスワードはリセットできません。そのユーザーアカウントは同じ OU に存在します。AdminSDHolder の保護を維持しながら、ヘルプデスクグループが保護されたアカウントのパスワードをリセットできるようにする必要があります。どうすればよいですか？

AdminSDHolderオブジェクトは、Domain Adminsなどの保護されたグループのメンバーであるアカウントのセキュリティ記述子を定期的に上書きします。ヘルプデスクグループがこれらのアカウントのパスワードをリセットできるようにするには、AdminSDHolderオブジェクト自体のDACLを変更して、「パスワードのリセット」権限を付与する必要があります。SDPropプロセスが実行されると、この変更が保護されたアカウントに適用されます。継承を有効にしたり、アカウントを移動したり、adminCount属性をクリアしたりすると、AdminSDHolderの保護が解除され、セキュリティリスクが生じます。gpupdate /forceはGPO設定を更新しますが、AdminSDHolderの動作には影響しません。