域安全与森林安全

Question

域“A”的管理员是否可以在同一林“开箱即用”中的另一个域“B”中重置用户的密码？

我相信域管理员不可能像那样管理森林中的另一个域。除非他使用一些非标准的、恶意的、实用程序和黑客。

任何人都可以证实这一点吗？

Answer 1

不可以，域管理员无权管理 forrest 内的其他域。

这不是“开箱即用”的行为，至少对于“域管理员”组来说不是。

如果您有一个根域ad.mycompany.com和一个子域，child.ad.mycompany.com则来自任一域的域管理员不应能够管理另一个域。但是，企业管理员组成员将能够管理子域。

但是，如果您的角色分离度较低（例如，企业管理员与域管理员将是同一个人），则设置此行为不一定会被视为恶意。此外，没有必要使用“非标准实用程序和技巧”，因为您需要做的就是将父域的域管理员组添加到企业管理员组。

子域中的域管理员组成员仍然没有管理父域的权限。