ADS: OUs verstecken mit Berechtigung

[byteshiddax 10]

Servus Leute.

 

Ich möchte gerne wissen, welche Umsetungsmöglichkeiten es gibt, um eine komplette OU zu verstecken bzw. den Inhalt nur für die Admins und ein paar delegierte User sichtbar zu machen...?

 

Szenario wie folgt:

 

.root

->admins

->group1 (diese OU soll nicht einsehbar sein für User in einer Subgroup)

-->subgroup1

-->subgroup2

 

Für eure Hilfe bin ich jetzt schon dankbar.

 

Danke schön. :D

[CoolAce 17]

Hy

 

Sorry versteh den Sinn dieser Aktion nicht. Soweit ich weiß ist es nicht möglich OUs oder Unter OUs zu verstecken. Wenn du willst das gewisse Leute nichts machen dürfen dann entzieh innen die Rechte oder pass Sie auf weniger an

 

CoolAce :cool:

[byteshiddax 10]

Hi CoolAce:

 

Ich suche nach einer Möglichkeit, den Inhalt (Anzeige des Inhalts der OU) zu verbergen, sodass ein dummer User nicht einsehen kann, wer und was in der OU liegt...

 

Das wäre eigentlich der Vater des Gedanken...

[BABA 11]

Habe dies auch schon probiert!

 

Es geht nicht.

 

Entweder darf er das ADS lesen oder nicht.

Warum sollen User das ADS überhaupt sehen. Da ist es doch besser ne neue Taskpadansicht zu basten wenn User Delegierungsaufgaben wahrnehmen sollen. z.B. Kennwörter zurücksetzen.

 

Gruß

Baba

[lefg 276]

sodass ein dummer User nicht einsehen kann, wer

Bescheren die ****** User nicht dem Admin seinen Job? Bitte ein wenig mehr Respekt! ;) Meinem Vorstandsvorsitzenden bringe ich den entgegen, obwohl er in Wirklichkeit auch nur mit Wasser kocht.

[grizzly999 11]

Habe dies auch schon probiert!

 

Es geht nicht.

 

Entweder darf er das ADS lesen oder nicht.

Konkrete, Starke Sätze, mit klarer Ausage, aber scheinbar eines Unwissenden :rolleyes:

 

Man entziehe einer bestimmten Gruppe die Leseberechtigungen auf eine OU, vergewissere sich, dass die Berechtigung für "Dieses Objekt und alle untergeordneten Objekte" gilt und weitere unten nirgendwo die Vererbung deaktiviert ist, und das wars mit Lesen oder Suchen nach Objekten innerhalb dieser OU für die Mitglieder der Gruppe .

 

 

grizzly999

[blub 115]

zur Ergänzung von Grizzly's Aussage.

Entziehe den "authenticated Users" alle Berechtigungen auf die OU und die SubOU's und gib der gewünschten Gruppe explizit zurück, was diese braucht (lesen, changen, etc.). Zu beachten ist nur, dass in den authenticated users neben den Usern auch die "domain computers" Mitglied sind und daher auch computerkonten wieder hinzugefügt werden müssen

Da gabs von Microsoft ein sehr gutes Whitepaper, um ein ActiveDirectory auf diese Art mandantenfähig zu bekommen. (building hosted applications). Leider haben sie das nicht mehr öffentlich zugänglich, keine Ahnung wieso.

das war mal der Link

http://www.microsoft.com/serviceproviders/whitepapers/building_hosted_app_services.asp

 

Der Artikel müsste beim Support aber noch zu bekommen sein.

 

cu

blub

[blub 115]

Ergänzung 2)

ein entscheidender Punkt aus dem Whitepaper ist auch hier beschrieben, um das Listrecht zu entfernen zu können

 

How can I enable the List Object security option in Active Directory (AD)?

http://www.windowsitpro.com/Article/ArticleID/46572/46572.html

 

cu

blub