Службе поддержки делегировали право «Сброс пароля» (Reset password) в OU «Пользователи» (Users). Они могут сбрасывать пароли большинства пользователей, но не могут сбросить пароль для пользователя, который является членом группы Domain Admins, хотя эта учетная запись пользователя находится в том же OU. Вам необходимо разрешить группе Helpdesk сбрасывать пароли для защищенных учетных записей, сохраняя при этом защиту AdminSDHolder. Что вы должны сделать?

Правильный ответ — изменить DACL на CN=AdminSDHolder,CN=System,<domain DN. Это связано с тем, что учетные записи, являющиеся членами высокопривилегированных групп (например, Domain Admins), защищены процессом AdminSDHolder. SDProp периодически копирует разрешения из объекта AdminSDHolder на эти защищенные учетные записи, перезаписывая любые унаследованные или явно установленные разрешения, чтобы предотвратить несанкционированное изменение. Изменение DACL непосредственно на AdminSDHolder гарантирует, что разрешение на сброс пароля будет применено к защищенным учетным записям при следующем запуске SDProp, сохраняя при этом общую защиту. Неправильные варианты: Включение наследования разрешений для защищенного объекта пользователя будет отменено SDProp. Перемещение защищенной учетной записи пользователя в другой OU не отменит защиту AdminSDHolder. gpupdate /force не имеет отношения к разрешениям Active Directory, управляемым AdminSDHolder. Очистка атрибута adminCount вручную не рекомендуется, так как это может нарушить безопасность и будет отменено при следующем добавлении пользователя в защищенную группу.