Qual permissão é necessária para ler os atributos do AD?

Question

Eu criei alguns atributos personalizados para usuários dentro do Active Directory e também criei uma conta básica para usar no AD para que ele possa ler esses atributos, assim como os padrões no AD.

Eu atribuí o usuário a "Usuários do domínio", mas o usuário só pode ler os atributos padrão e não os personalizados. Que permissão explícita eu preciso dar a este usuário para que ele possa ler os atributos personalizados do AD?

    

Answer 1

Se você olhar na guia Segurança de um objeto no AD, verá que os Usuários do Domínio não têm nenhuma permissão explícita. O que todo usuário tem, entretanto, é ser membro do grupo Usuários Autenticados e do grupo Todos (que são entidades de segurança especiais e não são grupos verdadeiros e não podem ser gerenciados como tal). Se você observar as permissões em um objeto do AD para esses dois grupos, verá as permissões que eles têm nesses objetos. O que você provavelmente quer fazer é usar o assistente de Delegação de Controle (com o escopo definido para o Contêiner ou UO apropriado) para conceder ao usuário Read all user information .

    

Answer 2

Isso depende muito da configuração do seu AD e, eventualmente, fez personalizações na herança, etc.

Certifique-se de que o usuário / grupo que deve ser capaz de ler os atributos tenha esse acesso concedido nos nós de destino (seja direto ou propriamente melhor via herança). Para configurar o acesso, acesse os nós desejados (por exemplo, UO) no anúncio e adicione o acesso de leitura dos atributos em questão aos usuários / grupos desejados (por meio da configuração de segurança no destino).