active-directory – Active Directory用户和计算机的限制视图

发布时间：2020-12-13 22:53:24 所属栏目：Windows 来源：网络整理

导读：我将一组用户委派给特定的人,以便能够跟上他们的帐户管理,并且我已授权他们对此组执行此操作.有没有一种方法可以限制同一个人查看ADUC上的组策略或其他组织单位？感谢您提前的时间. 是的,但它很复杂.您需要做的是将您的域置于列表对象模式.这是通过在ADSI编

我将一组用户委派给特定的人,以便能够跟上他们的帐户管理,并且我已授权他们对此组执行此操作.有没有一种方法可以限制同一个人查看ADUC上的组策略或其他组织单位？

感谢您提前的时间.

是的,但它很复杂.您需要做的是将您的域置于列表对象模式.这是通过在ADSI编辑中将配置命名上下文中dsHeuristics属性中的第三个数字设置为1来完成的.

http://technet.microsoft.com/en-us/library/cc546864.aspx

完成后,您将解锁列表对象模式,您将看到该模式作为可以分配给Active Directory对象的新权限或ACE.

它让人联想到Windows安全性中的“绕过遍历检查”权限,允许用户遍历他们没有权限的文件夹,以便访问他们有权访问的文件夹.

您主要看到多租户环境中使用的AD列表对象模式,其中您有多个客户共享同一个AD域,并且您不希望他们能够看到彼此的内容.

但请记住,除非您非常非常精确地使用您的权限,否则您将在客户端遇到组策略应用程序错误.客户端上的GP引擎需要读取gpLink,读取gpOptions,读取cn并读取链中每个OU上的Distinguished Name,从它们一直驻留到域的根目录,否则GPO应用程序将失败.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!