如何给用户有限的活动目录权限？

Question

我们是一家非常小的公司，一段时间以来，我一直是唯一管理我们的域/Active Directory 的人。我不是系统管理员，我是软件开发人员，但我已经为他们做了我能做的最好的事情。

我们现在有一名 Jr IT 助理，我想将一些 Active Directory 任务交给他，但不希望他拥有“上帝”权限。他不应该拥有创建/删除/编辑 DOMAIN ADMIN 级别帐户的权限，但我希望他能够创建/删除/编辑 DOMAIN USER 级别帐户。

这是可行的吗？

请让我知道我是否可以帮助使问题更清楚。

Answer 1

首先，创建一个名为“Account Creators”或类似名称的安全组。

在 ADUC 控制台中，右键单击您希望用户能够在其中创建帐户的 OU。单击委派权限。有一个用于创建/删除帐户的预定义角色。选择它并选择将其委派给您刚刚创建的组。然后，添加您想要的任何用户。