AD Gruppen wo User selber verwalten kann

[CoolAce 17]

Hallo zusammen,

 

ich bin schon seit Tagen am googeln und Foren durchsuchen aber finde nur Tools von anderen Anbietern.

Hat MS ein Tool, gern auch kostenpflichtig, womit ich dem User auf gewissen gruppen im AD das Recht

geben kann das er mitglieder joinen kann und wieder rausschmeißen kann.

 

Möglichst ohne das der User die AD Struktur Browsen kann

 

Danke für die Infos.

 

LG

 

Coolace

 

[NorbertFe 2.027]

Exchange 2010 ;) da geht sowas. Aber auch in so ziemlich jedem outlook. Nachteil, es geht nur mit emailaktivierten Gruppen. Ansonsten such mal nach self Service tools, da gibts ne Menge.

[CoolAce 17]

Ja, Exchange 2010 ist mir klar aber es geht um Sicherheitsgruppen die auf Ordner strukturen sich auswirkt.

Ich hätte das halt gern von Microsoft, und bei self service tools hab ich kein passendes von MS gefunden.

[NilsK 2.930]

Moin,

 

die Infrastruktur dafür ist seit Windows 2000 im Betriebssystem eingebaut. Du musst dem User (besser: einer Gruppe) das Recht geben, die Mitglieder der betreffenden Gruppe zu bearbeiten.

 

Ein dediziertes Tool dafür gibt es nicht, das wäre aber keine ernsthafte Hürde. Spannender ist die Frage, was du damit meinst:

 

Möglichst ohne das der User die AD Struktur Browsen kann

 

Standardmäßig kann jeder User fast alles im AD lesen und also auch "browsen". Was ist da also die genaue Anforderung?

 

Schöne Grüße, Nils

[CoolAce 17]

Hy,

 

danke schon mal für die Unterstützung, die Anforderung ist das es eine OU gibt, wo ich Gruppen anlege und unterschiedlichen Benutzern sage

sie sind Berechtigt hier Benutzer hinzuzufügen oder zu entfernen und nicht mehr.

 

Ich will aber nicht das die User die sowas dürfen die gesamte Struktur, so wie in den RSAT Tool, sehen und dort "rumstöbern" können was

den der liebe Admin noch so alles angelegt hat. Das die alle im AD "browsen" dürfen ist gespeert.

[lefg 276]

Hallo,

 

möglichweise ist das Gewünschte die Objektverwaltung oder Delegation.

bearbeitet 14. Februar 2013 von lefg

[CoolAce 17]

hmm, hilf mir mal bitte weiter inwiefern ?

[lefg 276]

Schaue doch bitte in

 

Active Directory-Benutzer und -Compter, dann im Kontextmenü der Domäne, dort Objektverwaltung zuweisen!

 

Ob es für dich das Gewünschte ist, dass musst Du selbst feststellen.

bearbeitet 14. Februar 2013 von lefg

[CoolAce 17]

Ok, muss ich mal in meiner Testumgebung testen ob ich es hinbekomme ohne das der User die Struktur sieht aber in seinen Gruppen

rumspielen kann

unter umständen kennt auch jemand von MS ein Produkt wo auch ein passendes FrontEnd für den User bereitstellt.

[Sunny61 806]

Ok, muss ich mal in meiner Testumgebung testen ob ich es hinbekomme ohne das der User die Struktur sieht aber in seinen Gruppen

rumspielen kann

 

 

unter umständen kennt auch jemand von MS ein Produkt wo auch ein passendes FrontEnd für den User bereitstellt.

 

 

Das Frontend gibt es von MS, nennt sich *.MSC. Wenn der Benutzer nur Zugriff für eine OU haben soll, dann erstell ihm eine eigene MSC. Vor dem Speichern ruf das Menü Datei > Optionen auf. Dort den Konsolenmodus auf Benutzermodus, Beschränkter Zugriff, Einzelfenster einstellen. Dann speichern, jetzt sollte er nichts anders 'sehen' mit der MSC.

 

Und wenn der Benutzer in den Benutzerobjekten Dinge einstellen/bearbeiten können soll, kannst Du das auch per Script voreinstellen. Bei Nils gibt es einen passenden Artikel dazu: http://www.faq-o-matic.net/2008/06/23/ad-adressen-im-sekretariat-bearbeiten-lassen/ Mit Hilfe des dort hinterlegten Scriptes kannst Du die Benutzerobjekte für eine bestimmte Gruppe beschreibbar machen, und zwar für jedes Attribut einzeln.

bearbeitet 14. Februar 2013 von Sunny61

[CoolAce 17]

perfekt, Danke das klingt doch genau nach meinem Fall und von MS

[lefg 276]

unter umständen kennt auch jemand von MS ein Produkt wo auch ein passendes FrontEnd für den User bereitstellt.

 

Möglichweise Remoteserver-Verwaltungstools (Übersicht)  http://technet.microsoft.com/de-de/library/cc731209(v=ws.10).aspx

[Sunny61 806]

perfekt, Danke das klingt doch genau nach meinem Fall und von MS

Teste es ausführlich und gibt Feedback, Danke. ;)

[CoolAce 17]

An RSAT hatte ich auch schon gedacht, aber wie gesagt will ich nicht das die User im AD Browsen, das könnte ich ja über deinen

Vorschlag mit der angepassten und abgespeicherten MMC probieren

[NilsK 2.930]

Moin,

 

Das die alle im AD "browsen" dürfen ist gespeert.

 

aha. Wie ist denn das gesperrt?

 

Sei dir bewusst, dass das Entfernen von Leserechten auf AD-Objekte die Funktion stören oder verhindern kann und dass du dich damit u.U. in einer nicht konfigurierten Konstellation befindest. Falls du hingegen die Leserechte gar nicht entzogen hast, ist das Browsen natürlich nicht gesperrt, sondern höchstens erschwert.

 

Schöne Grüße, Nils