Delegierung zum Kennwort setzen

[Arpeggiator 10]

Hallo zusammen ich habe wieder einmal ein Problem das sich für mich als unlösbar darstellt:

Ich will einem User in der Domäne server2003R2 die Möglichkeit bieten Kennwörter zurück zusetzen.

Ich weis aber nicht wie ich es angehe.

Was habe ich versucht:

- denn bestimmten User in die Gruppe Konto-Operatoren hinzugefügt.

- An der Domäne mit der rechten Maustaste eine Delegierung zum Kennwort setzen für diesen User aktiviert

Falls das richtig war wie geht’s weiter????: mmc snap in finde ich Active Directory Benutzer nicht.

Ich habe mal das adminpak von der Server Cd installiert da habe ich dann zwar mehr als ich wollte kann auch auf das Benutzermanagement zugreifen bekomme aber eine zugriffsverletzung (keine Rechte) wenn ich versuche ein Kennwort zu setzen.

 

???????? Bitte helft mir.

[grizzly999 11]

Soll der auch das Häkchen für die kennwortänderung bei der nächsten Anmeldung setzen können?

Dann schau mal hier rein: Minimum permissions are needed for a delegated administrator to force password change at next logon procedure

[Arpeggiator 10]

Ja er soll auch das Häkchen für die kennwortänderung setzen können lese mir den Artikel durch nur habe ich die einstellungen grundsätzlich richtig gemacht???

Muss der delegierte User in der Gruppe der Kontooperatoren sein??

[Daim 12]

Muss der delegierte User in der Gruppe der Kontooperatoren sein??

 

Nein, muss er nicht. Das ist ja gerade der Witz an der Objektdelegierung. Man vergibt an einen Benutzer gerade nur die benötigten administrativen Rechte, die er für seine tägliche Arbeit braucht. Im Idealfall vergibt man solche Rechte sogar einem zweiten Benutzerkonto.

 

Falls du einen Benutzer in eine bestehende Standard-Gruppe, wie die "Konten-Operatoren" hinzufügst, hat dieser von Haus aus mehrere/weitere Rechte. Das möchte mal aber oftmals nicht. Daher bietet sich die Delegierung an, um lediglich die minimalsten Rechte zu vergeben.

 

Lies selbst, was für Rechte die Konten-Operatoren haben:

Microsoft Corporation

 

Auf der Workstation kannst du das Adminpak abgespeckt installieren.

Standardmäßig beinhaltet die Installation des Adminpaks viel zu viele administrative Snap-Ins die der Benutzer nicht braucht, sondern evtl. lediglich die AD Snap-Ins.

 

Diese kannst du mit folgendem Befehl installieren (ohne die restlichen Snap-Ins):

msiexec /i adminpak.msi ADDLOCAL=FeADTools /qb

 

Fast noch besser wäre die benutzerdefinierte TASKPAD-Installation.

Create Taskpads for Active Directory Operations

[Arpeggiator 10]

Danke für deine Hilfe melde mich erst jetzt da ich kurz ins ausland musste werde das am Montag testen können.

Melde mich dann.