Helpdesk otrzymał uprawnienie „Reset password” w jednostce organizacyjnej „Users”. Mogą resetować hasła większości użytkowników, ale nie mogą zresetować hasła użytkownika będącego członkiem grupy Domain Admins, mimo że to konto użytkownika znajduje się w tej samej jednostce organizacyjnej. Musisz zezwolić grupie Helpdesk na resetowanie haseł dla kont chronionych, zachowując jednocześnie ochronę AdminSDHolder. Co powinieneś zrobić?

Poprawna odpowiedź to modyfikacja DACL na obiekcie AdminSDHolder. Konta należące do grup o wysokich uprawnieniach, takich jak Domain Admins, są chronione przez proces AdminSDHolder/SDProp. SDProp (Security Descriptor Propagator) co godzinę porównuje deskryptory zabezpieczeń chronionych obiektów z deskryptorem zabezpieczeń AdminSDHolder. Jeśli deskryptor chronionego obiektu różni się, SDProp nadpisuje go deskryptorem z AdminSDHolder, usuwając dziedziczone uprawnienia i wymuszając spójny zestaw uprawnień. Aby Helpdesk mógł resetować hasła dla tych kont, uprawnienie musi być dodane bezpośrednio do AdminSDHolder. Włączenie dziedziczenia na chronionym obiekcie zostanie cofnięte przez SDProp. Przeniesienie konta nie usunie ochrony AdminSDHolder. gpupdate /force nie ma wpływu na uprawnienia Active Directory. Wyczyszczenie atrybutu adminCount jest niezalecane i może naruszyć bezpieczeństwo.