Benutzerverwaltung Delegieren in AD

[cityempire 10]

Hallo,

ich bin gerade am Testen einer Delegierung in der AD. Dabei habe ich ein Problem.

 

um den Fehler zu beschreiben hier einige hintergrund Infos:

Domäne stammt aus der NT40 Zeit und viele Benutzer ebenfalls.

Die Domäne wurde von NT4 nach w03 migriert

 

Nun habe ich eine OU=NLD_Telefon

 

in dieser OU verschiebe ich einige Benutzer, einige wurden nach der Migration angelegt.

 

Im anschluss delegiere ich die Verwaltung an die Gruppe EDV, in der ein Auszubildener zugriff hat, denn man ja nicht unbedingt unter den Domänen-Admins haben möchte.

 

Bei der Sicherheit erteile ich im das Recht Benutzer Objekte zu ändern

und bei der Erweiterung habe ich alle eigenschaften ausgewählt die mit dem Konto zu tun haben, wie Telefon, Adresse ... jeweils lesen und schreiben.

 

Im anschluss prüfe ich die Berechtigung mit Effektive Berechtigung mit dem Auszubildenen, scheint auch so zu passen, was ich angegeben habe.

Im anschluss meldet sich der Azubi an und startet dsa.msc und geht auf die OU.

 

Der Azubi kann alle Personen Pflegen die nach der Migration angelegt wurden, jedoch keine Person die vor der Migration.

 

Welche Objekte muss der EDV noch zugeordnet werden, damit diese Personen auch gepflegt werden können ?

 

:Bernd

[woiza 10]

Hallo,

 

vermutlich ist bei den Usern, bei denen die Delegation nicht zieht die Vererbung ausgeschaltet.

 

Gruß

 

woiza

[cityempire 10]

Hallo,

das war es, jetzt gilt es nur alle betroffenen Benutzer wieder reinzunehmen.

Danke

 

:Bernd

[woiza 10]

Hi,

 

das müsstest du aber skripten können. Schau dir mal dsacls an.

[GhostWriter 10]

Ja, oder kauf dir ein Neues!...

[cityempire 10]

Hallo,

leider ein wenig zu frü gefreut, an der Vererbung hat es gelegen, nun habe ich mühsam schon 30 Personen umgestellt, da sagt mir meine Azubi das Sie keinen Zugriff mehr hat.

Was ist nun schon wieder passiert ?

Der Hacken für die Vererbung wurde wieder entfernt. (aber nicht von mir oder einem Admin)

 

:Bernd

[GhostWriter 10]

Mach da nix draus...Cumputer spezialisten haben das Recht manchmal ***** zu bauen!...Ruhig Blut!....

[cityempire 10]

Hallo,

für die, die es Interessiert, der Hacken wurde von einem Sicherheitsprocess in W2003 entfernt. Beteiligt dabei war die Gruppe AdminSDHolder. Die benutzer waren alle Mitglied der Sicherheitsgruppe Domain-Benutzer, diese Gruppe war wiederum mitglied der Gruppe Print-Operatoren. Habe die Gruppe aus den Print-operatoren entfernt und es klappt. Dazu gibt es auch zwei kb-Artikel bei MS. Mir war der Process bis gestern unbekannt, trotz einer fast bestandenen mcsa.

:Bernd