如何允许某些（非管理员）用户编辑所有 AD 用户的地址/电话属性？

Question

我需要允许 HR 人员编辑所有 Active Directory 用户的某些属性（电话号码、地址和类似的联系信息），而不授予他们完全的管理权限。他们需要有权编辑所有用户帐户的这些属性，而不管他们在哪个 OU 中，并且此安全设置也应在创建新用户帐户时自动应用到新用户帐户。

我怎样才能做到这一点？

Answer 1

您想在 Active Directory 用户和计算机中使用委派权限选项。您可以将委派应用于您想要的任何 OU，包括域根。

这将允许您将您想要的任何属性级别权限委派给您定义的任何用户/组。

这些权限与任何其他权限一样适用并尊重继承。

Answer 2

在 ADUC 中，控制委派向导将允许您使用自定义任务进行委派来执行此操作。仅选择您希望他们拥有写入权限的字段。