Delegate control til at rette brugerens efternavn i User-objectet

det ændrer du under active directory users and computers, højreklik på brugeren og på første faneblad kan du ændre efternavnet.

Du vil gerne kunne deligere kontrol til en bruger, som kun skal kunne ændre efternavne?

- er det korrekt forstået?

i så fald er det bare at højreklike på den OU brugerne der skal administreres ligger i og vælge delegate control, den bruger den angives, vil kunne nulstille koder, ændre data, osv.

niels >> Det er en sanhed med modifikationer...

nca >> du kan selv bestemme hvor meget brugeren skal kunne... Der er nogle standard delegations som kan tildeles, som eks. giver permissiones til at slette, oprette og redigere User accounts. Nustilling af koder er ikke en del af denne delegation.

Alternativt kan du tildele avancerede rettigheder ved at vælge "Create custom task to delegate"... Dette giver mulighed for, mere specifiks at tildele rettigheder på objekt niveau. Der vil du også kunne nøjes med at give rettigheder til at ændre på konti. Og altså ikke hverken slette eller oprette brugere, eller nustille passwords...

Det er korrekt at man kan tildele rettigheder via delegation og den tilhørende wizard. Uanset at jeg vælger "Create custom task" - "Only the following objects" - "User object" er der ikke muligheder nok.
Derfor går jeg på den pågældende OU ind under Security - Advanced - Properties - Apply only to User Objects. Heller ikke her kan jeg finde en mulighed for at give skrivetilladelse til Last name (Surname).
Jeg har også forsøgt at redigere i dssec.dat (jvf. Microsoft Article 296490), men kan ikke se at Last name skulle være filtreret fra.
Så jeg venter spændt på andre forslag ;-)

karser ok, så bare spørger kørte med et Server 2003 R2 domæne, og jeg har den mulighed hos mig, (incl Nustilling af koder)

Du kan ikke nøjes med at give adgang til at redigere "Last name" egenskaben på en bruger... Ikke uden at begynde at pille i AD Schema og dertil skal du bruge eks. ADSIEdit. Men det kan jeg dog på det kraftigste fraråde, da du nemt kan gøre mere skade end gavn!!!

Du styrer selv, om det er noget du vil gå i krig med.... Men du kan i værste fald, ende ud med et DEFEKT Active Directory!

- Så har jeg sagt det!

;o)

Karser>> Det mærkelige er at jeg kan give tilladelse til kun at redigere fornavn, intialer, displayname, osv. blot ikke efternavn. Det er det, der undrer mig.

Det er nok fordi jeg aldrig har haft brug for det, men jeg vidste faktisk ikke at det var muligt at udpeje så specifikke rettigheder.

Jeg har ikke lige mulighed for at prøve det på mit eget miljø lige nu, men jeg vil vende tilbage når jeg lige har stukket hovedet ned i mit AD! ;o)

Da der tilsyneladende ikke er nogen, der kan svare på spørgsmålet, lukker jeg hermed spørgsmålet.