Active Directory.pdf - Gattner

Active Directory-Objektberechtigungen 331
Abbildung 9.9
Delegieren der Verwaltung für die OU Vertrieb
In einigen Fällen kann es jedoch sinnvoll oder erforderlich sein, die Administratorrechte für Administratoren
auf höheren Ebenen für eine bestimmte untergeordnete OU zu deaktivieren. Wenn beispielsweise
eine untergeordnete OU für eine Zweigstelle eines Unternehmens erstellt wird, kann einer lokalen
Administratorgruppe Vollzugriff auf diese OU zugewiesen werden. Möglicherweise sollen diese
lokalen Administratoren jedoch nicht auf Benutzerkonten von leitenden Angestellten in der OU
zugreifen können. Zum Beschränken des Zugriffs kann innerhalb der OU für die Zweigstelle eine OU
Leitende Angestellte erstellt und die Option zum Einschließen von vererbbaren Berechtigungen des
übergeordneten Objekts deaktiviert werden. Dies verhindert die Berechtigungsvererbung auf Ebene
der OU Leitende Angestellte.
Zum Deaktivieren der Vererbung von Berechtigungen für ein Active Directory-Objekt öffnen Sie das
in Abbildung 9.4 gezeigte Dialogfeld Erweiterte Sicherheitseinstellungen für das Objekt. Deaktivieren
Sie die Option Vererbbare Berechtigungen des übergeordneten Objektes einschließen. Wenn Sie
diese Option deaktivieren, können Sie die vorhandenen Berechtigungen kopieren oder sämtliche
Berechtigungen entfernen, bevor Sie explizit neue Berechtigungen zuweisen (wie in Abbildung 9.10
gezeigt).
Abbildung 9.10 Auswählen der Option zum Kopieren oder Entfernen von Berechtigungen beim Deaktivieren der
Berechtigungsvererbung