Como permitir que não administradores administrem a associação de grupos de domínio selecionados?

Question

Estou no Windows Server 2012, o Active Directory está ligado e funcionando. Todo o projeto que gerenciamos tem 2 grupos dedicados, um para gerentes com acesso a todos os arquivos relacionados (incluindo faturas, horários e o que eles precisam para gerenciar o projeto, ou pelo menos eu acho que pode ser um monte de gifs animados para todos saber) e uma para as pessoas que realmente trabalham no projeto com acesso apenas aos arquivos do projeto em si.

Eu preciso deixar que alguns gerentes de projeto controlem a associação dos grupos que permitem o acesso a arquivos para seus projetos. Eles não devem poder editar nenhum outro aspecto do grupo. E, idealmente, ele deve estar usando uma interface gráfica de algum tipo, porque será difícil explicar isso dessa maneira, mas, no pior dos cenários, eu posso roteirizar um.

Adicionei o grupo de gerenciamento à guia "Gerenciado por" do grupo gerenciado, com "O gerenciador pode atualizar a lista de membros" ativada, e isso pareceu bastante fácil. Mas ..

1. Devo deixar o grupo de gerenciamento deixar ver toda a lista de usuários? Se sim, como?
2. Como e onde os membros do grupo administrativo devem fazer login para editar a associação ao grupo?

Answer 1

Você pode especificar o atributo managedBy e marcar a caixa "O gerenciador pode atualizar a lista de associações". (Isso concede permissão de gravação para o atributo Member.)

As pessoas que precisam editar o grupo podem fazer isso com o widget DSQuery, para o qual você pode criar o seguinte atalho:

rundll32 dsquery,OpenQueryWindow

Eles podem pesquisar o grupo como com Usuários e Computadores do AD, editar as propriedades e adicionar membros.

Pode ser possível fazer isso com o Outlook (se o grupo estiver habilitado para email), mas isso pode ser mais frágil se você tiver um ambiente com vários domínios.

    

Answer 2

No Windows 10, (assim como no Windows 8, acredito), você pode abrir o Gerenciador de arquivos, selecionar Rede no painel de navegação esquerdo, selecionar a guia Rede que aparece na faixa de opções na parte superior da janela e escolher a opção Pesquisar no Active Directory. Um usuário deve, então, poder procurar por um grupo do AD que tenha permissões para atualizar e adicionar / remover membros.