Delegation of Administration

[DaYwaLkUr]

Windows 2003 gaat het om.

Nu moeten mijn remote desktop users, passworden kunnen resetten in de AD.

Nu heb ik betreffende users in de OU, password reset gegeven d.m.v. Delegation.

Echter heb ik het probleem dat bij bestaande users ik het wachtwoord niet kan resetten en bij nieuwe users wel (omdat deze nieuwe users de rechten van bovenstaande parent krijgen). Bestaande users in deze OU krijgen de rechten niet, ik wil gewoon alle rechten doorvoeren door de gehele OU (inheritance verhaal).

Nu is de vraag hoe voer ik dit password reset door de gehele OU door?

Nu wel duidelijk?

[ Voor 44% gewijzigd door DaYwaLkUr op 17-04-2007 16:21 ]

[jep]

Nee. Misschien is het verstandig je verhaal wat uit te breiden en om te beginnen eens te vertellen welk OS je gebruikt in welke opstelling.

[ Voor 94% gewijzigd door jep op 17-04-2007 16:18 ]

[Verwijderd]

niet echt

[TheZoo]

Je verhaal blijft onduidelijk:
Je geeft gebruikers in een OU rechten. Op welke OU?:

Nu heb ik betreffende users in de OU, password reset gegeven d.m.v. Delegation

En dan is je probleem dat je zelf geen passwords kan resetten:

Echter heb ik het probleem dat bij bestaande users ik het wachtwoord niet kan resetten en bij nieuwe users wel

[DaYwaLkUr]

Ik heb gewoon één OU aan deze OU zit een security group gekoppeld. Deze security group kan passworden resetten.

Alleen worden deze rechten niet doorgevoerd naar onderliggende containers/OU's.

Moet dus iets zijn met replace permissions?

[Verwijderd]

DaYwaLkUr schreef op dinsdag 17 april 2007 @ 16:45:
Ik heb gewoon één OU aan deze OU zit een security group gekoppeld. Deze security group kan passworden resetten.

Alleen worden deze rechten niet doorgevoerd naar onderliggende containers/OU's.

Moet dus iets zijn met replace permissions?

kan, maar blijkbaar hebben onderliggende OU's reeds aangepaste rechten, anders zouden deze wel inherented zijn. Dus eerst uitzoeken waarom de rechten reeds anders zijn, voordat je blindelings je nieuwe rechten forced/replaced over de hele onderliggende structuur.

[DaYwaLkUr]

Verwijderd schreef op dinsdag 17 april 2007 @ 17:27:
[...]


kan, maar blijkbaar hebben onderliggende OU's reeds aangepaste rechten, anders zouden deze wel inherented zijn. Dus eerst uitzoeken waarom de rechten reeds anders zijn, voordat je blindelings je nieuwe rechten forced/replaced over de hele onderliggende structuur.

Hier zitten alleen users in... besef ik net, dus alleen user objects (betreft ook een test situatie) dus kan wel iets uitproberen.

Als ik een password wil resetten van een bestaande user, moet ik bij alle bestaande users de security group toevoegen wat rechten heeft tot het resetten van wachtwoorden.

Als ik een nieuwe user aanmaken inherit deze rechtstreeks de rechten van de OU zonder iets aan te passen, alleen bij bestaande users dus niet.

[Verwijderd]

DaYwaLkUr schreef op dinsdag 17 april 2007 @ 18:43:
[...]

Hier zitten alleen users in... besef ik net, dus alleen user objects (betreft ook een test situatie) dus kan wel iets uitproberen.

Als ik een password wil resetten van een bestaande user, moet ik bij alle bestaande users de security group toevoegen wat rechten heeft tot het resetten van wachtwoorden.

Als ik een nieuwe user aanmaken inherit deze rechtstreeks de rechten van de OU zonder iets aan te passen, alleen bij bestaande users dus niet.

volgens mij haal je 2 dingen door elkaar.

Als je een groep aanmaakt met delegatie rechten, dan hebben alleen de members van die groep die rechten. Dus zal je inderdaad users aan die groep moeten toevoegen.

Blijkbaar voeg je die groep automatisch toe bij een nieuwe gebruiker (copy van een user of middels script oid).

[DaYwaLkUr]

Verwijderd schreef op woensdag 18 april 2007 @ 13:50:
[...]


volgens mij haal je 2 dingen door elkaar.

Als je een groep aanmaakt met delegatie rechten, dan hebben alleen de members van die groep die rechten. Dus zal je inderdaad users aan die groep moeten toevoegen.

Blijkbaar voeg je die groep automatisch toe bij een nieuwe gebruiker (copy van een user of middels script oid).

Probleem is al opgelost, vinkje aangezet bij inherit rights. Moest ik weten

[sanfranjake]

Je hebt ook nog het gevalletje well known sids wat hier soms roet in het eten gooit, dat vinkje gaat bijvoorbeeld bij DomainAdmin-accounts binnen de betreffende OU automagisch, zodat de user niet op die manier kan gaan inbreken

[Equator]

Vrij basic AD geneuzel, en waarschijnlijk ook best te vinden @ google met de juiste keywords
Maar problem == solved..