如何允许特定 AD 用户将计算机添加到域中，仅限于特定 OU？

Question

我正在整理一个 puppet 配方，它将在 Linux 机器上安装 Likely Open 并将它们加入我们 AD 结构中的特定 OU。

由于唯一可行的方法是将 AD 用户的凭据以纯文本形式存储在 puppet 清单中，因此我想创建一个专用 AD 用户，该用户仅有权将计算机加入特定 OU。

我记得几年前做过这样的事情，但我对细节有点生疏。

我已经创建了一个 AD 用户并确保它在域来宾组中而不是域用户中，但是我不确定在 OU 上将权限委派给该用户时应该使用的确切详细信息。

有人可以告诉我需要在委托控制向导中使用的特定选项和权限吗？

Answer 1

我建议创建一个名为Account Management Computers 之类的组，您可以将此帐户添加为成员。通过这种方式，您可以随时修改组成员以更新委派，而无需更改 ACL。

• 在要修改的 OU/CN 上启动委派控制向导。
• 选择组/用户。选择“创建要委派的自定义任务”。
• 选择“仅文件夹中的以下对象”。
• 勾选：“计算机对象”和“在此文件夹中创建选定的对象”。
• 在下一页上，勾选“创建所有子对象”。