![如何创建一个只允许在 Active Directory 中的分发列表中添加/删除用户的用户?](https://linux22.com/image/594944/%E5%A6%82%E4%BD%95%E5%88%9B%E5%BB%BA%E4%B8%80%E4%B8%AA%E5%8F%AA%E5%85%81%E8%AE%B8%E5%9C%A8%20Active%20Directory%20%E4%B8%AD%E7%9A%84%E5%88%86%E5%8F%91%E5%88%97%E8%A1%A8%E4%B8%AD%E6%B7%BB%E5%8A%A0%2F%E5%88%A0%E9%99%A4%E7%94%A8%E6%88%B7%E7%9A%84%E7%94%A8%E6%88%B7%EF%BC%9F.png)
我确实有一个通过 LDAP 集成 Active Directory 的第三方产品(Jira)。
我想让 Jira 管理员编辑组成员身份并使其在 Active Directory 内同步。
目前这是可行的,但我需要使用域管理员服务帐户才能执行此操作。
问题是,如果不授予服务帐户整个域管理员权限,我该如何做到这一点。
答案1
你可以委托管理到您的服务帐户,以允许它编辑组成员身份,而无需授予其完整的域管理员权限。这可以针对单个组、给定 OU 中的所有组或整个域中的所有组执行,
http://www.windowsecurity.com/articles/Implementing-Active-Directory-Delegation-Administration.html