Los permisos efectivos, son la combinación (suma) de todos, salvo que siempre prevalecen los de Denegación.
No pasa nada si le modificas los permisos a Account Operators, aunque te recomiendo que documentes bien cuáles le sacas así en cualquier momeno, si necesitas, puedes dejar todo como está.
De todas formas ese cambio, no permite lo que pides en la pregunta inicial :-)
En general, lo recomendado actualmente, es usar la delegación, más que usar esos grupos predefinido, que están por comatibilidad con sistemas anteriores, y en general tienen demasiados privilegios.
Con Delegación es todo mucho más controlable.
Guillermo Delprato - MVP-MCT-MCSE-MCSA MCITP: Enterprise/Server Administrator MCTS: Active Directory/Network/Applications Configuration --- Este mensaje se proporciona "como está" sin garantías de ninguna clase. Usted asume todos los riesgos.
--- Buenos Aires, Argentina
