Как сделать так чтобы группа ИТ отдела могли сбросить пароль пароль пользователей кроме отдела ИТ?

Question

[by_EL]

Есть группа ИТ, которые обслуживают пользователей и могут сбросить пароли пользователей и получить доступ к административным общим ресурсам как $ пользователей.
Проблема в том, что эти сотрудники группы ИТ могут сбросить пароли друг друга и получить доступ по $ к дискам. Как ограничить эту ситуацию?

Answer 1

[Alexey Dmitriev]

Ограничить это можно правами на сброс паролей.
1. Вынести группу ИТ в отдельную OU.
2. Убрать\запретить права на сброс паролей.
3. Добавить на OU права на сброс паролей для принципала SELF

Ну и запретить менять права на OU :-)

Answer 2

[chupasaurus]

Никак. Логи для аудита - единственная сдерживающая мера.