Zugriffsrechte delegieren zum aktivieren/deaktivieren von Benutzern

[Canni 11]

Hallo zusammen,

 

welche Zugriffsrechte muss ich delegieren, um einen anderen Windows-Benutzer zu erlauben, den Benutzeraccount EINES Users zu aktivieren und zu deaktivieren? Kennwort zurücksetzen ist klar .. aber das?

 

 

Danke

Canni

[NorbertFe 2.168]

  Canni schrieb:

Hallo zusammen,

 

welche Zugriffsrechte muss ich delegieren, um einen anderen Windows-Benutzer zu erlauben, den Benutzeraccount EINES Users zu aktivieren und zu deaktivieren? Kennwort zurücksetzen ist klar .. aber das?

 

 

Danke

Canni

 

Schau dir mal die folgenden Artikel an:

Active Directory Aufgaben Delegation

Menüleiste - Gruppenrichtlinien

 

Das sollte dir den Ansatz geben.

 

Bye

Norbert

[TruckerTom 10]

Hallo Norbert,

 

den zweiten Link kann ich nicht anklicken, dann bekomme ich eine leere Seite.

[NorbertFe 2.168]

  TruckerTom schrieb:

Hallo Norbert,

 

den zweiten Link kann ich nicht anklicken, dann bekomme ich eine leere Seite.

 

Ich bekomme da das Menü zu Objektdelegation auf der linken Seite. Den Rest wird man wohl intuitiv finden ;)

 

Bye

Norbert

[Canni 11]

Tja aber welches Recht ist es, wenn nur aktiviert/deaktiviert werden können soll?

[Daim 12]

Servus,

 

es gibt nicht NUR das Recht für zum aktivieren bzw. deaktivieren eines Benutzerkontos.

Die Kontooptionen werden alle samt über das Attribut userAccountControl gesteuert, das sich aus einer Bitmaske zusammensetzt, wie der folgende Artikel es zeigt:

 

User-Account-Control Attribute (Windows)

How to use the UserAccountControl flags to manipulate user account properties

 

Du kannst lediglich die gesamten Kontoopptionen delegieren und nicht ein einzelnes Recht in den Kontooptionen. Dazu musst du in der DACL (in den erweiterten Sicherheitseinstellungen) des Containers das Lese- sowie Schreibrecht den Benutzern für das userAccountControl gewähren.

 

Also z.B. Rechtsklick auf den Standardcontainer USERS - Eigenschaften - Reiter Sicherheit (der Reiter Sicherheit erscheint nur, wenn unter Ansicht die Option "Erweiterte Funktionen" aktiviert ist) - dann fügst du dort den Benutzer, besser die Gruppe hinzu - klickst unter auf Erweitert - wählst den Benutzer/Gruppe aus und klickst Bearbeiten - klickst dort auf den Reiter Eigenschaften - im Feld "Übernehmen für" wählst du Benutzer-Objekte aus - und aktivierst dort "userAccountControl lesen und schreiben".

 

Dann hat derjenige das Recht die Kontooptionen für den kompletten Container bzw. OU zu verändern.

Das delegieren dieses Rechts, zum verändern der Kontooption lediglich einer einzigen Person ist nicht möglich.

 

 

Oder du wählst im Objektdelegierungsassistenten einen "Benutzerdefinierten Task" und wählst als Objekttyp "Benutzer-Objekte".

Im nächsten Fenster wählst du dann die Option "Lesen und Schreiben Kontobeschränkungen" aus.

Am Ende kommt das gleiche raus, es ist nur der Weg begleitet vom Assistenten.