bu bir ukde! doldurmak ister misin?
Active Directory üzerinden bir OU için delegasyon yapmak istediniz ve delegasyon sibirbazı ile bu OU altındaki tüm kullanıcıların telefon numaralarını help desk çalışanlarından Ali ye verdiniz. Yani özetle bu sayede OU altındaki tüm kullanıcıların güvenlik ayarlarında ( ACL ) ilgili öz nitelik için ( attribute ) izin vermiş oldunuz. Ancak bir süre sonra bu OU içerisindeki bazı kullanıcılarda bu yetkilerin kaybolduğunu ve işaretlemenize rağmen "Include inheritable permissions from this object's parent" kutucuğunun kendinden silindiğini göreceksiniz. Bunun temel sebebi korunan yönetimsel grupların üyelerinin PDC rolüne sahip DC tarafından her bir saatte yapılan ACL kontrolü sonrası düzenlenmesidir. Çünkü PDC korunan bu grupların üyelerinin ACL sini AdminSDHolder objesindeki ACL ile karşılaştırır ve eğer bir farklılık var ise bu durumda AdminSDHolder üzerindeki değerleri geri yükler. Bu gruplar aşağıdaki gibidir.
Enterprise Admins
Schema Admins
Domain Admins
Administrators
Account Operators
Server Operators
Print Operators
Backup Operators
Cert Publishers
( Koruna varsayılan gruplara üye dağıtım gruplarıda bu koruma kapsamındadır, çünkü bu gruplar her an security grubuna çevrilebilir. )
Süreç nasıl işliyor ? PDC rolü yüklü DC üzerinde AdminSDHolder Tread her saatte bir çalışarak admincound attribute değeri "0" dan yüksek olan objelerdeki ACL leri, AdminSDHolder objesi üzerindeki değere sıfırlar. Bu obje ise aşağıdaki yolda bulunur
cn=AdminSdHolder,cn=System,dc=cozumpark,dc=com.
Bu AdminSDHolder process ( işlemi ) sadece korunan grupların içerisindeki grup ve üyeleri için çalışmaktadır. Ancak isterseniz varsayılan olarak gelen bu gruplar için ekleme çıkarma yapma şansına sahipsiniz. Bunun için aşağıdaki makaleyi inceleyebilirsiniz
http://support.microsoft.com/kb/817433/en-us
Siz kendi yapınız için kimlerin bu grup' a dahil olduğunu veya hangi grupların bundan etkilendşiğini öğrenmek için aşağıdaki powershell komutlarını kullanabilirsiniz
Get-ADgroup -LDAPFilter “(admincount=1)” | select name
Get-ADuser -LDAPFilter “(admincount=1)” | select name