允许 AD 用户设置密码但不允许其他属性

Question

我需要一个 Active Directory 用户，它可以设置其他用户的密码，但只能设置密码，而不能设置用户的其他属性。

我该如何配置？

Answer 1

您可以通过使用“控制委托”向导向用户授予更改密码的权限来实现此目的：

启动委托控制向导，选择您的用户或组进行委托

打开 ADUC，找到您的域树并浏览到您希望应用用户权限的最顶层（例如，我工作场所的“域用户”），右键单击 >“委派控制”。

在欢迎对话框中，单击“下一步”。

在用户或组对话框中，单击“添加...”按钮。系统将提示您添加要应用委派权限的用户或组。

在“选择用户、计算机或组”对话框中，键入对象的名称（使用域\用户名或域\组名以获得最佳结果）或单击“高级”>“查找”以找到您希望对其应用权限的资源.

选择资源后，在“选择用户、计算机或组”对话框中单击“确定”，然后在“用户或组”对话框中单击“下一步”。

委派您的任务

在要委派的任务对话框中，您可以从各种各样的任务中进行选择以分配给您的用户。

如果您只想委派重置密码任务

确认“委派以下常见任务”单选按钮被勾选并选择“重置用户密码并在登录时强制更改密码”，然后单击“下一步”按钮。

如果您还想委派启用/禁用用户帐户的能力

勾选“创建要委派的自定义任务”单选按钮，然后单击“下一步”按钮。

勾选“仅文件夹中的以下对象”单选按钮，然后选择“用户对象”并单击“下一步”按钮。

在“权限”对话框中，选中“常规”和“特定于属性”复选框，然后在下面的列表中检查以下权限：

更改密码 重置密码 读取 userAccountControl 写入 userAccountControl

单击“下一步”按钮。