我可以授予计算机帐户删除自己的权限吗？

Question

我想在本地计算机上的本地系统上下文中运行一个计划任务，该任务从 AD 中删除自己的计算机帐户。

我可以授予计算机对象删除自己的权限吗？

我的所有计算机都位于一个顶级 OU 下。我需要在此 OU 上设置哪些特定的 ACL 以允许其中的计算机删除自己（并且仅删除自己）。

Answer 1

是的。这是可能的。只需授予 SELF 对计算机对象的“删除”权限。这意味着计算机帐户将有权删除自己的计算机对象。如果计算机帐户有子对象，您可能还需要“删除子树”，但它们通常没有子对象。

这当然意味着计算机与域的信任关系被破坏，但您已经知道了。