Как изменить значение атрибута adminCount в AD?

Question

[Anton]

Привет.
На 2008r2 DC создал группу в built-in для операторов первой линии техподдержки. Их задача простая - упорядочить значения в полях объекта "Пользователь", а именно - описание, комната, телефон. Через делегирование дал им такие права.
Но, некоторые пользователи находятся в защищенных группах, о чём говорит атрибут adminCount = "1" и нельзя изменить инфу в их полях.
Каким образом можно решить данную проблему? Думаю, что должно быть какое-то разрешение в делегировании, но какое?

Answer 1

[Vorp]

Снять защиту можно, но объект не должен находится в защищаемых группах. Убеждаемся, что нет, и:

1. Меняем значение атрибута admincount на 0
   
2. Разрешаем наследование в параметрах безопасности объекта пользователя.