服务帐户

Question

我们有一个服务帐户，它是域管理员组的成员。这是让我特别不舒服的事情。

我希望尽快改变这一点，但我对 AD 权限还很陌生。服务帐户的主要用途是用于 LDAP 查询，因此我已分配帐户域用户成员资格。麻烦的是，它还需要能够代表用户重置密码。我正在查看委托控制，但只能看到“下次登录时重置用户密码和强制更改”。需要的是发生复位但不设置力变化。我试图手动指定一个角色，但由于不同权限的数量之多，我有点超出了我的深度。

有没有人对将密码重置的控制权委托给另一个用户需要什么权限有任何指导？

Answer 1

您委派此任务所需的最小粒度权限是：

Reset Password    
Read pwdLastSet    
Write pwdLastSet

您应该创建一个新的安全组，使用委派向导将这些权限委派给它，然后将服务帐户添加到新组。