帮助台管理员需要什么权限才能在 AD 中创建用户？

Question

帮助台管理员需要什么权限才能在 AD 中创建用户？我不希望此人成为域管理员，我们有 2003 个 DC。

Answer 1

尝试使用委托控制，因为我认为这将是微调此访问的解决方案。

如果尚未设置，请将帮助台管理员设置为 ADUC 中的安全组，然后从那里您可以转到查看/高级选项，右键单击 OU 以更具体或整个域，指定哪些权限（添加用户）并包括安全组。

看一眼http://social.technet.microsoft.com/Forums/en-US/winserverGP/thread/d7ad344d-0fcf-4a80-9fe0-cac802df25bb以供参考。

Answer 2

最好在 OU 级别通过委派控制权来执行此操作，正如 Nicholas 所指出的那样。如果您需要授予他们随处创建和管理用户帐户和组的能力，那么可以使用 BUILTIN\Account Operators 组。此组的功能与 NT4 中一样。因此，它可能拥有太多权限，超出了您的要求，但我提到它是因为有时这正是人们想要的，尤其是在通过第三方产品输入权限时。

Answer 3

正确答案实际上是从所有后代对象中“创建用户对象”