AD Berechtigung zum User verschieben - Problem

[Mag 11]

Hallo zusammen,

 

lasst mich kurz mein Problem schildern. Ich möchte u.a. z.B. einen Hotline Bereich berechtigen, AD Benutzer zu verschieben. Dass ansich sollte kein Problem darstellen, allerdings möchte ich das mit so wenig Rechten wie möglich bewerkstelligen.

 

Bei den Computerkonten habe ich das schon eingerichtet. Dazu gibts sogar ne MS Anleitung:

How to Grant Permission to Move Computer Accounts to a User or Group

 

Ich nehme an, bei Benutzern muss es ich synonym dazu einrichten. Wenn ich das richtig verstehe ist ein Verschieben immer ein Löschen und Erstellen?! Korrgiert mich wenn ich falsch liege. Meine Bedenken dazu sind nun folgende.

 

Wenn ich nun folgende die Berechtigungen gewähre:

 

Benutzerobjekt Alle Eigenschaften schreiben

Diese und alle unterg. Obj. Benutzer erstellen

Diese und alle unterg. Obj. Benutzer löschen

 

damit er eigentlich nur einen Benutzer verschieben darf, ist er in der Lage, jegliche Eigenschaftsfelder des Benutzers zu beschreiben.

Ich würde allerdings gerne vermeiden, dass jeder der Verschiebt auch Exchangefelder, Kennwortfelder, Sperrungen oder andere wichtige Felder editieren darf :/

 

Versteht jemand mein Dilemma? :D

Nun die abschließende Frage:

Muss das so konfiguriert werden oder habe ich was übersehen?

[NorbertFe 2.300]

Benutzerobjekt Alle Eigenschaften schreiben

Diese und alle unterg. Obj. Benutzer erstellen

Diese und alle unterg. Obj. Benutzer löschen

 

Viel zu viel.

 

Yusuf hat neulichmal ein Templat für den Delegationswizard für Computer gebastelt. Das mußt du eigentlich nur für User anpassen.

 

;---------------------------------------------------------
[template15]
AppliesToClasses=domainDNS,organizationalUnit,container

Description="Computerkonten verschieben"

ObjectTypes=SCOPE, computer

[template15.SCOPE]
computer=CC,DC

[template15.computer]
cn=WP
name=WP

;----------------------------------------------------------

 

Yusuf`s Directory - Blog - Der Objektdelegierungsassistent

 

HTH

Norbert

[Mag 11]

Au verdammt !!!

Der Link ist ja gold wert. Auf so eine Automatisierung hab ich ja schon ewig gewartet.

Danke :)