限制 AD 服务器上域用户的权限

Question

如何为域用户分配权限，使得他只能更改活动目录用户的密码，并且能够将客户端计算机加入或删除到域。

他应该拥有所有（客户端计算机）的管理员权限

Answer 1

问题 1:

• 以域管理员身份登录 Windows Server，然后从桌面任务栏上的图标或从“开始”屏幕打开服务器管理器。
• 从工具菜单中选择 Active Directory 用户和计算机 (ADUC)。
• 在 ADUC 的左侧窗格中，展开您的域，右键单击用户容器（或您要委派权限的 OU），然后从菜单中选择委派控制。
• 在欢迎屏幕上单击“下一步”。
• 在“用户或组”屏幕上，单击“添加”。
• 在“选择用户、计算机或组”对话框中，键入要授予重置用户帐户密码权限的 AD 组的名称，然后单击“确定”。在此示例中，我已经有一个名为 HelpDesk 的 AD 组，我将使用它。
• 在“用户或组”屏幕上，单击“下一步”。
• 在“要委派的任务”屏幕上，选中“重置用户密码并在下次登录时强制更改密码”，然后单击“下一步”。

问题2 ：

使用 Active Directory 用户和计算机委派权限：

1. 打开 Active Directory 用户和计算机

管理单元。

2. 右键单击要添加计算机的容器，然后按委派控制。

3. 按“下一步”。

4. 按“添加”。

5. 添加所有用户和/或组后，按下一步。

6. 选择创建自定义任务来委派并按下一步。

7. 选择文件夹中仅以下对象，检查计算机对象，选中在此文件夹中创建选定对象框，然后按下一步。

8. 选中创建所有子对象框并按下一步。

9. 按“完成”。

问题 3

首先创建一个名为“受限组：组名”的新 GPO（例如：受限组：本地管理员）。编辑 GPO 并导航到“计算机配置/策略/Windows 设置/安全设置/受限组”。在“组名”下，右键单击并选择“添加组”。