active-directory – 两个OU上的不同ACL,具有相同的“保护对象不被删除”设置

背景

在我配置Active Directory以便将计算机移动的能力委托给帮助台工作人员之后,我开始听到有关计算机会在特定OU中“卡住”的报告.他们可以移动计算机,但在尝试移动计算机时会收到“拒绝访问”消息.该问题是100％可重现的,并且仅出现在我们域中的少量OU上.

两个OU都有Protect对象启用意外删除.

我所知道的

使用ldp.exe检查ACL确实揭示了一个微小但重要的区别.出于某种原因,只有一个OU的属性ACTRL_DS_DELETE_CHILD被拒绝给所有人.

在OU上打开和关闭Protect对象标志不能解决问题.它确实按预期修改了ACL,但在任何一种情况下ACTRL_DS_DELETE_CHILD标志都是完全未修改的.

我可以使用此解决方案来“修复”特定的OU：

>关闭Protect对象标志
>删除与Everyone关联的拒绝ACE.
>重新打开Protect对象
>现在ACL的匹配.

可能是不同版本的Active Directory或远程服务器管理工具可能与保护对象标志在OU上实际表示的方式有不同的行为？

问题

什么可能导致这种差异,我该怎么做才能确保它在Active Directory域中的所有OU上得到纠正？

细节

统一差异看起来像这样：

18c18
<       Ace Mask:  0x00010042
---
>       Ace Mask:  0x00010040
20d19
<           ACTRL_DS_DELETE_CHILD

如何识别受影响的组织单位

编辑：我写了一个PowerShell脚本来找到设置了这个标志的组织单位.

$Base = "OU=MyOU,DC=your,DC=domain,DC=com"
Import-Module ActiveDirectory
Set-Location AD:
Get-ADOrganizationalUnit -SearchBase $Base -filter * |
    ForEach-Object {
        $matches = @(
            (Get-ACL $_.distinguishedname).access |
            Where-Object {
                $_.IdentityReference -eq "Everyone"
            } |
            Where-Object {
                $_.ActiveDirectoryRights -like "*DeleteChild*"
            }
        )
        if ($matches.length -gt 0) {
            Write-Output $_
        }
    } |
    Format-Table distinguishedname

说明

在组织单位上启用Protect对象以防止意外删除标志时,它会影响该对象及其父对象的ACL.

>受保护的OU获取{拒绝,所有人,删除DeleteSubtree}
>父OU获取{Deny,Everyone,DeleteChildobjects}

父级上的访问控制条目是强制保护所必需的,但确实会产生类似于此处观察到的意外结果.无论您切换保护标志多少次,父级上的拒绝访问控制条目都不会自动删除.

因此,在我使用的Active Directory中,任何曾经包含受保护的OU(基本上都是任何非叶OU)的OU上都有Deny DeleteChild ACE,因此从用户的角度“捕获”该OU中的计算机对象具有委派权限.

通过：Protect object from accidental deletion on Technet Forums

解

通过确保用于委派权限的基本OU在ACL中具有这两个访问控制条目,可以轻松解决此问题.

> {允许,GROUP,创建/删除计算机对象,此对象和所有后代} *
> {允许,删除DeleteSubtree,后代计算机对象}

我已经在我的目录中的相关OU上配置了第一个访问控制条目,但现在我知道这是不够的.每当创建受保护的OU时,自动拒绝ACE设置就会取消第一条规则.第二个规则允许直接删除对象,从而绕过子OU受保护时设置的拒绝条目.

*(第一条规则现在可能是多余的.有人可以确认吗？)

active-directory – 两个OU上的不同ACL,具有相同的“保护对象不被删除”设置

相关推荐