Какие права регулируют доступ к оснастке AD?

Question

[Jurasz]

Добрый день. Хочу предоставить сотрудникам технической поддержки доступ к AD, расположенному на контроллере домена.

Самим сотрудникам я выдал права в самом AD, но вот оснастку они запустить не могут, так как требуются права администратора, которых у них нет на этом сервере.

Как возможно решить этот вопрос? Чтобы не добавлять роль администратора домена, но при этом чтобы был доступ к AD (для заведения пользователей). Выносить оснастку за контроллер домена не получится, так как на нее завязываются другие сервисы, которые работают только на контроллере и необходимы для заведения пользователей.

Answer 1

[MaxKozlov]

Кто вам сказал что "Выносить оснастку за контроллер домена не получится" ?
google rsat
не надо кому попало давать права на DC заходить

Comments

[Jurasz]

У нас дополнительно работает сервис, который позволяет создавать почтовые ящики прямо из AD. И этот сервис устанавливается только на контроллер домена, по RSAT работать не будет. Потому и говорю, что выносить не получится.

[MaxKozlov]

Jurasz, А какая связь "оснастки" и "сервиса" ?

Сервис срабатывает на основе чего ? если событий или просто опрашивает по времени - вынос оснастки не помешает никак.

А если это встроено некими VBS скриптами прямо в оснастку через схему AD, то это стоило переделать ещё в 2005 году, когда powershell 1.0 появился :)

И в этом случае оно скорее всего всё равно без админа не работает

[Jurasz]

MaxKozlov, Это сервис Kerio Connect, который позволяет при заведении пользователя создать почтовый ящик. И да, он просит установку только на контроллере домена.

[Максим Гришин]

Jurasz этот сервис создает ящики в какой такой почте? Если в сторонней, такому сервису достаточно иметь доступ по LDAP и права на управление пользователями (роль account operator), если в Exchange, то когда-то давно я создавал ПЯ для пользователей в AD путем записи атрибута legacyExchangeDN, это работало при наличии прав откуда угодно. Имхо ваш керио зажрался и просит себе больше, чем нужно.

[Максим Гришин]

MaxKozlov, скорее не "без админа" а "без выдачи прав пользователю, под которым выполняются действия в AD", делегации, скажем.

[MaxKozlov]

Максим Гришин, Ну пока автор подробностей не дал, проще считать "без админа" :)

[MaxKozlov]

Jurasz, Я с Kerio дела не имел, но на 99% уверен что ему нужен сам AD, а не оснастка.

Впрочем за это время вы могли уже поставить себе на комп RSAT, создать в нём тестового пользователя и всё проверить.

[Роман Безруков]

MaxKozlov, Kerio впиливает свою вкладку в стандартный диалог создания нового пользователя AD через установку Kerio Active Directory Extension на сервер с ролью Schema Master.

[MaxKozlov]

Роман Безруков, Печально. И что, появляется вкладка и работает только там ? по доке это не очевидно.

Мне так показалось, что оно таки будет работать, если его поставить и на RSAT, к 9.2.2 нашёл какие-то указания на то что оно там пофикшено.
https://www.htmldesign.de/de/aktuelles-2017/detail...

То есть если схема уже расширена установкой на сервер, то можно ставить в том числе и на win10 с RSAT
Другое дело, как оно там работать будет...

[Роман Безруков]

MaxKozlov, по ссылке написано, что не работает - типа установщик падает
- Kerio Active Directory Extensions (KADE) installer failed to run on Microsoft Windows 10 even if Remote Server Administration Tools (RSAT) are installed.

[MaxKozlov]

Роман Безруков, Я в их значках не разбираюсь, но скорее всего это означает fixed :)
иначе шло бы в отдельном разделе

Answer 2

[AN_Tarkov]

Добрый день. Смотрите в сторону делегирования полномочий. Должно решить Вашу задачу