Innerhalb des Active Directory nimmt die Objektdelegierung einen wichtigen Platz ein. Falsch gesezte Rechte auf OUs stellen ein nicht zu unterschätzendes Sicherheitsrisiko dar.

Daher sollte man Benutzern auf bestimmte OUs im AD nur soviel Rechte einräumen, wie sie tatsächlich benötigen. Ein Benutzerkonto, das Computerobjekte ins AD aufnimmt muss kein Domänenadmin sein.

Im Netz gibt es viele Anleitungen dazu. Im folgenden zeige ich das Setzen von Berechtigungen für einen bestimmten Benutzer der Computerobjekte in die Domäne aufnehmen soll mit einem Powershell Script.

Am DC einen Benutzer MDT_JD anlegen.

Powershell Script ausführen:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force
Set-Location C:\!Scripts
.\Set-OUPermissions.ps1 -Account MDT_JD -TargetOU "OU=Workstations,OU=Computers,OU=Winxperts"

 Das Script erlaubt dem Benutzer "MDT_JD" Computerobjekte in der OU "Workstations" zu erstellen und setzt dabei folgende Rechte:

1.Scope: This object and all descendant objects
Create Computer objects
Delete Computer objects
2.Scope: Descendant Computer objects
Read All Properties
Write All Properties
Read Permissions
Modify Permissions
Change Password
Reset Password
Validated write to DNS host name
Validated write to service principal name

Bei meinen Recherchen zu diesem Thema bin ich auch auf ein super Powershell Script gestoßen, das einen Report zu allen gesetzten Rechten im AD generieren kann.

Update am 04.07.2017: Neuer Link, da die Codeplex Seite geschlossen wurde: ADACLScan

Quelle:  Technet Configure permissions in Active Directory for Windows deployment account

                https://adaclscan.codeplex.com/

Download Kumulatives Update KB4022716 für Windows 10 1703 x64 (705,8 MB)

Download Kumulatives Update KB4022716 für Windows 10 1703 x86 (415,3)

Version nach dem Update: 15063.447

Download KB4023543 für Windows 10 1703 x86 (203 KB)KB4023543 für Windows 10 1703 x86 (203 KB)

Download KB4023543 für Windows 10 1703 x64KB4023543 für Windows 10 1703 x64 (203KB)

Download Kumulatives Update KB4022723 für Windows 10 1607 x86 (591,7 MB)

Download Kumulatives Update KB4022723 für Windows 10 1607 x64 (1048,8 MB)

Version nach dem Update 14393.1378

Download FeaturePack Microsoft .NET Framework 4.7 für Windows 10 Version 1607 x64 (KB3186568) (67,1 MB)

Download FeaturePack Microsoft .NET Framework 4.7 für Windows 10 Version 1607 (KB3186568) (40,5 MB)