禁用域管理员帐户所需的最低权限

Question

我正在编写一个脚本，用于自动禁用对特权 AD 组（例如域管理员）的新、未经授权的添加。该脚本在帐户“groupWatch”下运行。

我想将 groupWatch 禁用域管理员帐户所需的权限降至最低。我有一个简单的选择，就是让域管理员由管理groupWatch；当需要禁用域管理员时，它会将其从该组中删除，然后禁用它。我宁愿不给 groupWatch 组成员管理权力，因为这也意味着它可以添加新的域管理员。