Active Directory 写入权限允许编辑用户信息，但不允许编辑管理员用户信息

Question

在我们的 Active Directory (2008 R2) 中，我使用委派向一组非管理员用户授予编辑用户信息属性（例如电话号码、职位、邮政地址等）的权限。

该组的成员现在可以编辑大多数用户信息，但他们不能编辑管理员信息。但为什么？我没有找到任何可能导致这种情况的“拒绝”条款。

Answer 1

可能是 SDAdminHolder 功能。它阻止作为受保护组成员的帐户的权限继承。您可以通过检查帐户的权限和帐户父容器的权限来确认这一点。