如何将 OU 权限委托给嵌套在安全组中的计算机帐户？

Question

问题：我无法通过将该计算机帐户添加到已被授予向该 OU 添加组的权限的安全组来授予计算机帐户向该 OU 添加组的权限。

原因：在我们的环境中，资源始终使用角色组呈现给用户。这里的资源是特定 OU 上的权限，该权限授予域本地安全组。角色是全局安全组，用户是计算机帐户。用户是计算机帐户的原因是因为需要权限的脚本在该服务器上的 SYSTEM 帐户下运行。

设置：

我已经测试过的内容：

• 如果我将权限直接委托给计算机帐户，它就可以工作。
• 如果我将用户放入角色组中，该用户就可以执行该脚本。

我想要的是：

• 使此设置正常工作的解决方案（也许我忽略了一些东西）
• 或者解释为什么这行不通（然后我会尝试寻找其他解决方案）

Answer 1

因此，我找到了解决方案，这要感谢 Greg Askew 的评论

此外，如果将计算机添加到组中，则该计算机不会获取组成员身份，直到计算机重新启动或 Kerberos TGT 密钥被清除并重新加载。–@GregAskew

我使用以下方法清除了系统帐户的 Kerbros 密钥：执行程序和klist 命令

我进入了交互式系统会话，然后清除了 Kerbros 密钥。

PsExec.exe -s -i powershell.exe
klist purge

与重新启动相比，我更喜欢这种方法，因为重新启动服务器并不总是可行的。

Answer 2

对我来说，从标题来看，它非常有帮助。我曾经对集群做过类似的事情，当阅读有关 TGT 的内容时，它完全说得通，我只是分配了组并重新启动了集群 CNO，它就起作用了，我有点不确定计算机是否也需要重新启动。