如何以编程方式更改 Active Directory 中计算机对象的权限

Question

我继承了企业 Active Directory 域中 OU 的控制权。我们 OU 中的所有计算机对象都归我的前任所有（并且只能由其写入）。这阻止我重新添加这些计算机，除非我删除这些对象（在这种情况下，新对象将归我添加它们的任何帐户所有）或添加我们所有 OU 管理员的写入权限。我想要后者。

因此，我正在寻找一种方法来制作一个 VBA/Powershell/其他脚本，该脚本可以指向一个 OU，并且可以针对该 OU 中的每个计算机对象：

• 将对象的所有权更改为我们使用的服务/部门帐户
• 在对象上添加写权限以包括我们的 OU 管理员组

实际上，选择 VBA/Powershell 只是因为我认为可能需要运行此脚本在其中一个 DC，我无法控制它们上安装的内容。如果可以使用标准 LDAP 工具通过网络执行此操作，那么我想任何语言都可以。