Ich beschäftige mich gerade mit dem delegieren von Gruppenmietgliedschaftsadministration an normale Nutzer.
Der Grundgedanke den ich hege ist folgender:
- Ich delegiere die Benutzergruppenverwaltung an Abteilungsleiter
- Der Abteilungsleiter bekommt eine vorbetreitete MMC mit benutzerdefinierten Abfragen(Dazu werden die Adminpacks auf den Rechnern installiert)
Nun hatte ich das Problem: Alle Nutzer haben standardmäßig Rechte zum auflisten und zum lesen der Domänenmitglieder. Durch die MMC sind nun diese Informationen sehr einfach offengelegt. Das sollte aber nicht sein. Der Nutzer soll nicht alle
AD Accounts durchstöbern können.
Meine Reaktion war:
- lesen können muss der Nutzer
- auflisten jedoch nicht. Also nahm ich dem Domänen-Benutzer die Rechte zum auflisten auf dem Testknoten der Testdomäne contoso.com (ja, arbeite auch gerade an die Bücher durch, daher stammt auch die Idee)
Warum nicht auflisten?
Anfragen von Programmen und dem System geschehen über den Nutzer Account, bzw seine SID, und nicht über das durchsuchen aller möglichen Nutzer. Domänen-Admins sind zum verwalten da und nicht die Domänen-Benutzer.
Jetzt denke ich über echte Umgebungen nach und ob es doch Wechselwirkungen geben kann?
Ist dieser Gedankenansatz zur Nutzerbasierten Administration sinnvoll, oder habt ihr bessere Vorschläge. Es wirkt mir doch etwas zusammengeschustert.
