Je vois deux bémols :
- Pour effectuer cette opération, vous devez lancer PowerShell en mode administrateur. Ce ne devrait pas être possible pour un utilisateur standard.
- Pour réaliser la commande, le module AD de PowerShell doit être installé sur le poste. Ce n'est pas le cas par défaut.
De plus, lorsque l'on regarde les ACLs, les utilisateurs du domaine (hors compte à privilège ou membre d'un groupe à privilège) ne peuvent pas modifier la propriété de leurs copains, uniquement la leur.
Par conséquent, une bonne hygiène des postes et des privilèges devraient résoudre votre problème. J'éviterai à votre place de modificer les ACLs de cet attribut qui, en soi, ne présente aucun risque.
