如何让非管理员管理选定域组的成员资格？

Question

我在 Windows Server 2012 上，Active Directory 正在运行。我们管理的所有项目都有 2 个专用组，一个供管理人员使用，可以访问所有相关文件（包括发票、时间表以及他们管理项目所需的任何内容，或者至少我猜，它可能是一堆动画 gif知道），另一种适用于实际从事项目的人员，他们只能访问项目本身的文件。

我需要让一些项目经理控制允许文件访问其项目的组的成员资格。他们不应该能够编辑组的任何其他方面。理想情况下，它应该使用某种 GUI，因为以这种方式解释它已经足够困难了，但最坏的情况是我可以编写一个脚本。

我将管理组添加到管理组的“管理者”选项卡中，启用了“管理器可以更新成员资格列表”，这看起来很简单。但..

1. 我应该让管理组查看整个用户列表吗？如果是这样，如何？
2. 管理组成员应如何以及在何处登录以编辑组成员资格？

Answer 1

您可以指定 managedBy 属性，并选中“经理可以更新成员资格列表”框。（这将授予对 Member 属性的写权限。）

需要编辑组的人可以使用 DSQuery 小部件来完成，您可以为它创建以下快捷方式：

rundll32 dsquery,OpenQueryWindow

他们可以像使用 AD 用户和计算机一样搜索组，然后编辑属性并添加成员。

可能可以使用 Outlook 执行此操作（如果该组已启用邮件），但如果您有一个多域环境，这可能会更加脆弱。