De helpdesk heeft de bevoegdheid 'Wachtwoord opnieuw instellen' gekregen voor de OU 'Gebruikers'. Ze kunnen de wachtwoorden van de meeste gebruikers opnieuw instellen, maar niet die van een gebruiker die lid is van Domain Admins, hoewel dat gebruikersaccount zich in dezelfde OU bevindt. U moet de Helpdesk-groep in staat stellen wachtwoorden opnieuw in te stellen voor beveiligde accounts, terwijl de AdminSDHolder-beveiligingen intact blijven. Wat moet u doen?

Het correcte antwoord is het wijzigen van de DACL op CN=AdminSDHolder,CN=System,<domain DN om de Helpdesk-groep de 'Wachtwoord opnieuw instellen'-toestemming te geven. Beveiligde groepen en accounts, zoals Domain Admins, worden beschermd door AdminSDHolder. SDProp (Security Descriptor Propagator) zorgt ervoor dat de machtigingen van AdminSDHolder elke 60 minuten worden toegepast op deze accounts, waardoor expliciete machtigingen op de gebruikersobjecten zelf worden overschreven. Door de machtiging toe te voegen aan AdminSDHolder, wordt deze automatisch correct toegepast. Het inschakelen van overerving op het gebruikersobject werkt niet, omdat SDProp dit bij de volgende cyclus weer ongedaan maakt. Het verplaatsen van het account naar een andere OU verandert niets aan de AdminSDHolder-beveiliging. gpupdate /force is voor Group Policy Object-instellingen, niet voor directe machtigingen op directory-objecten. Het wissen van het adminCount-attribuut verwijdert de AdminSDHolder-beveiligingen, wat niet de bedoeling is, aangezien de vraag stelt dat de beveiligingen intact moeten blijven.