委派用户权限以在 Active Directory 中的 OU 之间移动用户/计算机

Question

我想授权用户清理 AD，方法是允许他在几个 OU 之间移动用户（并且只执行此操作）。我该如何实现？

我想使用此方法扩展我授予的用户权限在 Active Directory 中授予添加用户/修改/更改密码/将其添加到组中但不能删除它们的权限

Answer 1

常见的方法是使用“控制委派”向导这是Active Directory 用户和计算机控制台管理单元授予相关 OU 的权限。

您必须选择要受影响的对象类型。在您的案例中，这显然是“用户”对象类型。但没有“移动”权限，您必须授予相关 OU 的对象创建和删除权限。这样做显然也会允许用户对象删除，但这就是它的工作原理 - 移动是创建/删除操作。请参阅 Microsoft 知识库文章KB818091以供详细参考。