Yardım Masası'na 'Kullanıcılar' OU'sunda 'Parolayı Sıfırla' yetkisi verildi. Çoğu kullanıcının parolasını sıfırlayabiliyorlar ancak aynı OU'da bulunmasına rağmen Domain Admins üyesi olan bir kullanıcının parolasını sıfırlayamıyorlar. Yardım Masası grubunun korumalı hesaplar için parolaları sıfırlamasına izin verirken AdminSDHolder korumalarını yerinde tutmanız gerekiyor. Ne yapmalısınız?

Doğru cevap, AdminSDHolder nesnesinin DACL'sini değiştirmektir. AdminSDHolder, Active Directory'deki ayrıcalıklı hesaplar (Domain Admins gibi) için izinleri koruyan bir güvenlik mekanizmasıdır. Bu hesaplar için izinler her saat başı SDProp işlemi tarafından AdminSDHolder'dan kopyalanır ve bu hesapların nesnelerindeki izinler üzerinde yapılan doğrudan değişikliklerin üzerine yazılır. Bu nedenle, Yardım Masası grubunun ayrıcalıklı bir kullanıcının parolasını sıfırlamasına izin vermek için, doğrudan kullanıcının nesnesindeki izinleri değiştirmek yerine AdminSDHolder nesnesinin kendisinde 'Parolayı Sıfırla' iznini vermelisiniz. Değişiklikten sonra SDProp'un uygulanmasını beklemek gereklidir. Diğer seçenekler yanlıştır: İzin devralmayı etkinleştirmek, SDProp işlemi tarafından üzerine yazılacağı için etkisizdir. Korumalı kullanıcı hesabını başka bir OU'ya taşımak, AdminSDHolder korumasını kaldırmaz. gpupdate /force, Active Directory izinleriyle ilgili değildir. adminCount özniteliğini temizlemek, AdminSDHolder korumasını kaldırır ancak bu, güvenlik riskleri oluşturur ve sorunun gerektirdiği "AdminSDHolder korumalarını yerinde tutmanız gerekiyor" şartına uymaz.