Helpdesk 被委派了「重設密碼」權限，作用於「Users」OU。他們可以重設大多數使用者的密碼，但無法重設屬於 Domain Admins 成員的使用者密碼，即使該使用者帳戶位於相同的 OU 中。您需要允許 Helpdesk 群組重設受保護帳戶的密碼，同時保留 AdminSDHolder 保護。您應該怎麼做？

AdminSDHolder 物件的設計目的是保護高權限帳戶（例如 Domain Admins）免受意外或惡意權限變更的影響。SDProp 程序會定期將 AdminSDHolder 的權限複製到所有受保護的帳戶。因此，若要允許 Helpdesk 重設受保護帳戶的密碼，您必須直接修改 AdminSDHolder 物件的 DACL，授予 Helpdesk 群組「重設密碼」權限。一旦 SDProp 運行，這些權限就會應用到所有受保護的帳戶。 啟用權限繼承會破壞 AdminSDHolder 的保護機制。移動受保護帳戶不會改變其受 AdminSDHolder 保護的狀態。gpupdate /force 與 Active Directory 物件權限無關。清除 adminCount 屬性會移除 AdminSDHolder 保護，這不是保留保護的解決方案。