[WIN2K] AD Groeps eigenschappen aanpassen

[Verwijderd]

Ik heb een vraagje omtrent Windows2000 en Active Dir.

Wij geven hier met Delegation of Control bepaalde rechten aan groepen zodat ze zelf zaken kunnen wijzigen in de Active Dir. Dit komt neer op het resetten van passworden en het lid maken van gebruikers van bepaald groepen.

Verder zou ik graag willen dat de groep die dat mag ook Descriptions kan aanpassen van Groeps-objecten in de AD.

Ik heb reeds een aantal uren gezocht en kan het aanzetten door alle properties op write en read te zetten. Maar dat is niet de bedoeling.
Ze mogen alleen de Notes en de Description wijzigen van een groepsobject.
(De Notes heb ik reeds gevonden, alleen de description !??!)

Kan iemand mij misschien helpen ?

Thanx !

Groeten,
CJ

[Arno]

Description is onderdeel van de general info

[Verwijderd]

Deze optie zie ik, alleen zijn dit properties van USER OBJECTS en niet van GROUP OBJECTS.
Dit werkt dus niet als ik de description wil laten wijzigen voor groeps-objecten.

Of zie ik iets over het hoofd ?

[Arno]

Ook dat staat beschikbaar

[Verwijderd]

Mmmm, ik heb die group attributes aangezet maar de optie Description komt niet beschikbaar.
Een stukje eronder kan ik de Read Notes en Write Notes aanvinken en die werkt wel.

Erg vaag.

Heb jij nog een idee waar dit aan kan liggen ?

[Arno]

Zet eens die delegation aan op een testuser en log deze eens in. Probeer of je wel de eigenschappen van het groepsobject kunt aanpassen.

[Verwijderd]

Ik doe het steeds met een test groep waar die desbetreffende gebruiker lid van is.

En kan dan wel de notes aanpassen, maar geen description.

Als ik het vinkje aanzet van Write All Properties dan kan ik WEL de description aanpassen. Raar maar waar.

Ik ben toen 1 voor 1 alle vinkjes afzonderlijk aan gaan zetten om te zien of het misschien een andere was. Maar ook dit werkte niet.

Ik moedeloos ? Nee joh !

[Arno]

Dan denk ik dat je op een beperking van AD bent gestuit. Is 'write all properties' geen optie

[Verwijderd]

Write all properties is geen optie ivm security overwegingen.

Erg jammer dat het niet werkt terwijl het zo simpel had kunnen zijn.

In ieder geval bedankt voor je hulp !

[Arno]

Graag gedaan. Mogelijk is het wel te doen in AD.NET, die met Windows.NET uitkomt. Daar kan iig al veel meer dan in de AD van W2k

[Brahiewahiewa]

Als 't middels de delegation wizzard niet lukt, kun je altijd nog met ADSIEdit de rechten aanpassen. Ieder attribuut heeft een ACL, dus je moet effe achterhalen wat het precieze attribuut is waar die description in zit en dan met ADSIEdit de ACL editen.

[Arno]

Brahiewahiewa schreef op 23 oktober 2002 @ 12:32:
Als 't middels de delegation wizzard niet lukt, kun je altijd nog met ADSIEdit de rechten aanpassen. Ieder attribuut heeft een ACL, dus je moet effe achterhalen wat het precieze attribuut is waar die description in zit en dan met ADSIEdit de ACL editen.

Euh.... jah, dat kan. Echter is de adsi editor een best gevaarlijke tool, die je standaard niet eens enabled krijgt. Hiervoor dien je een dll te registreren en na gebruik weer te de-registreren.

Persoonlijk raad in adsi edit altijd af.

[Brahiewahiewa]

Traag schreef op 23 oktober 2002 @ 12:35:
[...]

Euh.... jah, dat kan. Echter is de adsi editor een best gevaarlijke tool[...]

Ach ja, dat zeiden ze vroegen van RegEdit ook en nog vroeger werd dat van het editen van win.ini en system.ini gezegd.
't Is belangrijk om precies bij te houden wat je doet; als het dan verkeerd uitpakt, kun je de veranderingen weer terugdraaien