委派 AD 权限以重置特定组内用户的密码

Question

我想用有点扁平的方法创建一个新域。我想创建组并将用户放入组中，而不是根据项目和用户位置拥有多个带有子 ou 和子 ou 的 OU。

例如，所有用户都将放在DC=DOM,CN=LOC中的某些OU=Users 中，然后将创建多个组：

但是，我最终考虑如何将权限委派给这些组，以便我可以让管理员重置密码（或在华沙执行其他操作）。

似乎委派是基于每个 OU 完成的，如果我想进行精细控制（每个项目、位置、子位置等），我仍然坚持使用 OU？或者有人已经做到了，而我只是错过了什么？

Answer 1

密码管理只能委托给 OU 的，因为 OU 上的 ACL 条目是通过继承传递给用户对象的。组不会更改其包含的用户的 ACL。

您应该重新考虑压平 AD 的计划。