Privilégios para redefinir senha, alterar senha, desbloquear conta e ler perfil

Question

Eu fiz um serviço que tem a capacidade de redefinir, alterar senhas, desbloquear uma conta bloqueada e ler valores de perfil AD (por exemplo, sn, nome etc.) de algum usuário de domínio depois que o usuário se verificar por telefone. No servidor de domínio de destino, existe uma conta privilegiada que é capaz de realizar essas tarefas. Eu uso o .NET framework Directory Services API e uso a conta privilegiada para executar tarefas. Até agora, minha conta privilegiada era basicamente um administrador de domínio e era capaz de fazer mais do que o necessário. Agora, como a parte da avaliação é executada, preciso saber as políticas exatas que preciso ter para fazer apenas essas tarefas:

• Redefinir uma senha de usuário
• Redefinir uma senha de usuário e marcar a senha como expirada
• Alterar uma senha de usuário (o usuário fornecerá a senha atual)
• Desbloquear uma conta bloqueada
• Ler a propriedade do perfil do AD de um usuário

Alguém pode listar os privilégios necessários? Eu posso configurar uma conta especial e torná-la parte da documentação de implantação.

    

Answer 1

O recurso que você está procurando é Delegação de direitos do Active Directory . Ele permite atribuir direitos de usuário ou grupo para fazer coisas como redefinir senha, editar atributos específicos do Active Directory, etc.

A configuração é tão simples quanto clicar com o botão direito do mouse em uma UO em Usuários e Computadores do Active Directory e selecionar "Delegar Controle ...". Você provavelmente poderia descobrir sem ler a documentação da Microsoft, mas eu recomendo que você leia mesmo assim.