active-directory – 两个OU上的不同ACL,具有相同的“保护对象不
背景
在我配置Active Directory以便将计算机移动的能力委托给帮助台工作人员之后,我开始听到有关计算机会在特定OU中“卡住”的报告.他们可以移动计算机,但在尝试移动计算机时会收到“拒绝访问”消息.该问题是100%可重现的,并且仅出现在我们域中的少量OU上. 两个OU都有Protect对象启用意外删除. 我所知道的 使用ldp.exe检查ACL确实揭示了一个微小但重要的区别.出于某种原因,只有一个OU的属性ACTRL_DS_DELETE_CHILD被拒绝给所有人. 在OU上打开和关闭Protect对象标志不能解决问题.它确实按预期修改了ACL,但在任何一种情况下ACTRL_DS_DELETE_CHILD标志都是完全未修改的. 我可以使用此解决方案来“修复”特定的OU: >关闭Protect对象标志 可能是不同版本的Active Directory或远程服务器管理工??具可能与保护对象标志在OU上实际表示的方式有不同的行为? 问题 什么可能导致这种差异,我该怎么做才能确保它在Active Directory域中的所有OU上得到纠正? 细节 统一差异看起来像这样: 18c18 < Ace Mask: 0x00010042 --- > Ace Mask: 0x00010040 20d19 < ACTRL_DS_DELETE_CHILD 如何识别受影响的组织单位 编辑:我写了一个PowerShell脚本来找到设置了这个标志的组织单位. $Base = "OU=MyOU,DC=your,DC=domain,DC=com" Import-Module ActiveDirectory Set-Location AD: Get-ADOrganizationalUnit -SearchBase $Base -filter * | ForEach-Object { $matches = @( (Get-ACL $_.DistinguishedName).access | Where-Object { $_.IdentityReference -eq "Everyone" } | Where-Object { $_.ActiveDirectoryRights -like "*DeleteChild*" } ) if ($matches.length -gt 0) { Write-Output $_ } } | Format-Table DistinguishedName
说明
在组织单位上启用Protect对象以防止意外删除标志时,它会影响该对象及其父对象的ACL. >受保护的OU获取{拒绝,所有人,删除DeleteSubtree} 父级上的访问控制条目是强制保护所必需的,但确实会产生类似于此处观察到的意外结果.无论您切换保护标志多少次,父级上的拒绝访问控制条目都不会自动删除. 因此,在我使用的Active Directory中,任何曾经包含受保护的OU(基本上都是任何非叶OU)的OU上都有Deny DeleteChild ACE,因此从用户的角度“捕获”该OU中的计算机对象具有委派权限. 通过:Protect object from accidental deletion on Technet Forums 解 通过确保用于委派权限的基本OU在ACL中具有这两个访问控制条目,可以轻松解决此问题. > {允许,GROUP,创建/删除计算机对象,此对象和所有后代} * 我已经在我的目录中的相关OU上配置了第一个访问控制条目,但现在我知道这是不够的.每当创建受保护的OU时,自动拒绝ACE设置就会取消第一条规则.第二个规则允许直接删除对象,从而绕过子OU受保护时设置的拒绝条目. *(第一条规则现在可能是多余的.有人可以确认吗?) (编辑:李大同) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
- windows-7 – 我可以通过Windows命令行关闭客户体验改善计划
- windows – 如何运行命令直到成功?
- 注册表 – REG文件中的注释
- windows-server-2003 – IBM LTO 3磁带机定期“脱机”
- 如何删除windows用户帐号使用C#
- 如何在Windows上正确使用node.js child_process.spawn()重定
- windows-phone – 在Windows Phone 8应用程序中启用JavaScr
- windows10环境下装ubuntu双系统,装显卡驱动,配置CUDA,cu
- windows-server-2003 – Windows Server 2003 IPSec隧道已连
- windows-phone-8.1 – 升级到最新Windows Phone 8.1后无法发