P�ihl�sit

Select the product you need help with

Delegovan� opr�vn�n� nejsou k dispozici a d�d�n� je automaticky zak�z�na.

ID �l�nku: 817433 - Produkty, kter� se vztahuj� k tomuto �l�nku.

K dispozici je oprava typu hotfix

UPOZORN�N�: TENTO �L�NEK BYL STROJOV� P�ELO�EN

Zobrazen� anglick�ho �l�nku a jeho �esk�ho p�ekladu vedle sebe

Zobrazen� p�vodn�ho anglick�ho �l�nku a jeho p�ekladu vedle sebe.

Rozbalit v�echny z�lo�ky | Minimalizovat v�echny z�lo�ky

P��znaky

Po upgradu na syst�m Windows Server 2003, m��e z n�sleduj�c�ch p��znak�:

Delegovan� opr�vn�n� nejsou k dispozici v�em u�ivatel�m v organiza�n� jednotky.
D�di�nost je automaticky zak�z�no na n�kter� u�ivatelsk� ��ty p�ibli�n� jednou za hodinu
U�ivatel�, kte�� d��ve byla p�id�lena opr�vn�n� ji� nechat.

K tomuto probl�mu m��e doj�t tak� po pou�it� opravy hotfix popsan� �l�nek znalostn� b�ze Microsoft Knowledge Base 327825 Microsoft Windows 2000 Server nebo Po instalaci syst�mu Windows 2000 Service Pack 4 pro syst�m Microsoft Windows 2000 Server. Dal�� informace o oprav� hotfix syst�mu Windows 2000 327825, Klepnut�m na n�sleduj�c� ��slo �l�nku Microsoft Znalostn� b�ze Knowledge Base:

327825

(http://support.microsoft.com/kb/327825/ )

Nov� �e�en� pot�� s ov��ov�n�m pomoc� protokolu Kerberos, kdy� u�ivatel� n�le�� do v�ce skupin

Zp�t nahoru | Dejte n�m zp�tnou vazbu

P��ina

P�i delegov�n� opr�vn�n� pomoc� delegace Pr�vodce ��zen� t�chto opr�vn�n� spol�haj� objektu u�ivatele, kter� d�d� opr�vn�n� z nad�azen�ho kontejneru. �leny skupin chr�n�n� nejsou d�dit opr�vn�n� z nad�azen�ho kontejneru. Proto pokud nastav�te opr�vn�n� pomoc� Pr�vodce delegov�n�m ��zen�, tato opr�vn�n� nejsou u �len� skupin chr�n�n�.

Pozn�mka: �lenstv� ve skupin� chr�n�n� je definov�na jako bu� p��mo �lenstv� nebo p�enosn�ch �lenstv� pomoc� jednoho nebo v�ce zabezpe�en� nebo distribu�n� skupiny. Distribu�n� skupiny jsou zahrnuty, proto�e mohou b�t p�evedeny na skupiny zabezpe�en�.

V syst�mu Windows Server 2003, po�et skupin, kter� jsou chr�n�n�ch zv��ila zabezpe�en� ve slu�b� Active Directory (naleznete Odd�l "Dal�� informace"). Po�et skupin kter� jsou chr�n�ny tak� zv��, jestli�e u 327825 opravy hotfix syst�mu Windows 2000.

Zp�t nahoru | Dejte n�m zp�tnou vazbu

�e�en�

Chcete-li tento probl�m vy�e�it, m��ete nainstalovat opravu hotfix. Je nutn� Nainstalujte opravu hotfix �adi� dom�ny, kter� m� prim�rn� dom�ny �adi� emul�tor roli v ka�d� dom�n�. Nav�c je nutn� nainstalovat opravu hotfix na v�ech �adi��ch dom�ny, kter� m��ete pou��t k Tato role p�evz�t, pokud je aktu�ln� operace emul�toru prim�rn�ho �adi�e dom�ny dr�itelem role hlavn�ho k dispozici. Pokud si nejste jisti �adi�e dom�ny pou�ijete Chcete-li p�evz�t roli, doporu�ujeme zv�it instalaci opravy hotfix na v�echny �adi�e dom�ny. Pokud �adi� dom�ny bez opravy hotfix se p�edpokl�d�, Operace roli hlavn�ho emul�toru PDC, bude nastavena opr�vn�n� u�ivatele znovu.

Informace o oprav� hotfix pro syst�m Windows 2000

Podporovan� oprava hotfix je k dispozici od spole�nosti Microsoft. Tato oprava hotfix je v�ak ur�ena pouze probl�m popsan� v tomto �l�nku. Pou�it� t�to opravy hotfix pouze u syst�m�, ve kter�ch doch�z� k tomuto konkr�tn�mu probl�mu.

Pokud je oprava hotfix je k dispozici ke sta�en�, je sekce "Hotfix sta�en� k dispozici" v horn� ��sti tohoto �l�nku. Pokud tento odd�l nen� uveden, ode�lete ��dost o podporu a slu�by z�kazn�k�m spole�nosti, jak z�skat opravu hotfix.

Pozn�mka: Pokud nastanou dal�� probl�my nebo �e�en� pot�� je vy�adov�n, pravd�podobn� vytvo�it samostatnou ��dost. V�daje na technickou podporu se bude u dal��ch ot�zek a probl�m�, kter� nelze vy�e�it ur�itou konkr�tn� opravy hotfix. �pln� seznam telefonn�ch ��sel slu�eb z�kazn�k�m spole�nosti Microsoft a podpo�e nebo vytvo�it zvl�tn� po�adavek na slu�bu nav�tivte n�sleduj�c� Web spole�nosti Microsoft:

http://support.microsoft.com/contactus/?ws=support

(http://support.microsoft.com/contactus/?ws=support)

Po�adavek na restartov�n�

Po instalaci t�to opravy hotfix, je nutn� restartovat po��ta�.

Informace o nahrazen� opravy hotfix

Tato oprava hotfix nenahrazuje ��dn� dal�� opravy hotfix.

Informace o souboru

Anglick� verze t�to opravy hotfix m� atributy soubor� (nebo nov�j��), jsou uvedeny v n�sleduj�c� tabulce. Data a �asy jednotliv�ch soubor� jsou uvedeny v koordinovan� sv�tov� �as (UTC). P�i zobrazen� informac� o souboru, je p�eveden na m�stn� �as. Pomoc� vyhledat rozd�l mezi m�stn�m �asem a �asem UTC naleznete �asov� p�smo karty v Datum a �as Chcete-li zobrazit polo�ky v Ovl�dac�ch panelech.

Informace o aktualizaci service pack pro syst�m Windows Server 2003

Tento probl�m vy�e��te pomoc� nejnov�j�� aktualizace service pack pro syst�m Windows Server 2003. Dal�� informace z�sk�te klepnut�m na n�sleduj�c� ��slo �l�nku datab�ze Microsoft Knowledge Base:

889100

(http://support.microsoft.com/kb/889100/ )

Jak z�skat nejnov�j�� aktualizaci service pack pro syst�m Windows Server 2003

Informace o oprav� hotfix pro syst�m Windows Server 2003

Podporovan� oprava hotfix je k dispozici od spole�nosti Microsoft. Tato oprava hotfix je v�ak ur�ena pouze probl�m popsan� v tomto �l�nku. Pou�it� t�to opravy hotfix pouze u syst�m�, ve kter�ch doch�z� k tomuto konkr�tn�mu probl�mu. Tato oprava hotfix m��e b�t d�le testov�na. Proto pokud nen� p��sn� tento probl�m, doporu�ujeme po�kat na dal�� aktualizaci softwaru, kter� bude tuto opravu hotfix obsahovat.

Pokud je oprava hotfix je k dispozici ke sta�en�, je sekce "Hotfix sta�en� k dispozici" v horn� ��sti tohoto �l�nku. Pokud tento odd�l nen� uveden, obra�te se na podporu a slu�by z�kazn�k�m spole�nosti, jak z�skat opravu hotfix.

Pozn�mka: Pokud nastanou dal�� probl�my nebo �e�en� pot�� je vy�adov�n, pravd�podobn� vytvo�it samostatnou ��dost. V�daje na technickou podporu se bude u dal��ch ot�zek a probl�m�, kter� nelze vy�e�it ur�itou konkr�tn� opravy hotfix. �pln� seznam telefonn�ch ��sel slu�eb z�kazn�k�m spole�nosti Microsoft a podpo�e nebo vytvo�it zvl�tn� po�adavek na slu�bu nav�tivte n�sleduj�c� Web spole�nosti Microsoft:

http://support.microsoft.com/contactus/?ws=support

(http://support.microsoft.com/contactus/?ws=support)

Pozn�mka: "Hotfix sta�en� k dispozici" formul�� zobraz� jazyky, pro kter� je oprava hotfix je k dispozici. Pokud v� jazyk nen� uveden, je to, proto�e oprava hotfix nen� k dispozici pro dan� jazyk.Anglick� verze t�to opravy hotfix m� atributy soubor� (nebo nov�j��), jsou uvedeny v n�sleduj�c� tabulce. Data a �asy jednotliv�ch soubor� jsou uvedeny v koordinovan� sv�tov� �as (UTC). P�i zobrazen� informac� o souboru, je p�eveden na m�stn� �as. Pomoc� vyhledat rozd�l mezi m�stn�m �asem a �asem UTC naleznete �asov� p�smo Karta v polo�ce Datum a �as v okn� Ovl�dac� panely.

Po�adavek na restartov�n�

Po instalaci t�to opravy hotfix, je nutn� restartovat po��ta�.

Informace o nahrazen� opravy hotfix

Tato oprava hotfix nenahrazuje ��dn� dal�� opravy hotfix.

Informace o souboru

Windows Server 2003 32-bit Edition

Windows Server 2003 64-bit Edition

Po instalaci opravy hotfix v syst�mu Windows 2000 a v syst�mu Windows Server 2003, m��ete nastavit pro celou dom�novou strukturu dsHeuristic p��znaky ��d�c� skupiny oper�tora, kter� jsou chr�n�no objektem adminSDHolder. Pomoc� t�to nov� mo�nosti lze nastavit n�kter� nebo v�echny zapsan�m �ty�i chr�n�n� skupiny zp�t k p�vodn�mu chov�n� syst�mu Windows 2000. Je pozice znaku 16 interpretov�ny jako hexadecim�ln� hodnotu, kde je na pozici nejv�ce vlevo znak 1. Jedin� platn� hodnoty jsou proto "0" a� "f". Ka�d� skupina oper�tor konkr�tn� bit m� takto:

Bit 0: Account Operators
Bit 1: Server Operators
Bit 2: Print Operators
Bit 3: Backup Operators

Nap��klad hodnota 0001 prost�edky vylou�it Account Operators. A Hodnota 'c' by vylou�it, Print Operators (0100) a z�lohov�n� Oper�tory (1000), proto�e bin�rn� sou�et 1100 odr�� estn�ctkovou hodnotu 0xC.

Chcete-li povolit nov� funkce, mus�te Upravte objekt kontejneru konfigurace. Toto nastaven� je cel� dom�nov� struktury. Chcete-li objekt upravit, postupujte takto:

Vyhledejte objekt, kter� chcete zm�nit.Dal�� informace o tom, jak to prov�st klepn�te na n�sleduj�c� ��slo �l�nku datab�ze Microsoft Knowledge Base:
326690
(http://support.microsoft.com/kb/326690/ )
Anonymn� operac� LDAP V dom�n� syst�mu Windows Server 2003 jsou zak�z�ny slu�by Active Directory �adi�e
Na p��kazov�m ��dku zadejte n�sleduj�c� p��kaz: N�stroj Ldp.exea potom stiskn�te kl�vesu ENTER, spus�te n�stroj LDP.
Klepn�te na tla��tko P�ipojen�, klepn�te na tla��tkop�ipojit a potom klepn�te na tla��tko OK.
Klepn�te na tla��tko P�ipojen�, klepn�te na tla��tkoBIND, zadejte u�ivatelsk� jm�no a heslo ko�enov� dom�na dom�nov� struktury spr�vce a pak klepn�te na tla��tko OK.
Klepn�te na tla��tko Zobrazen�, klepn�te na tla��tko Strom, a potom klepn�te na tla��tko OK.
Pomoc� cestu View\Tree, otev�ete n�sleduj�c� konfiguraci KN:
CN = Directory Service, CN = Windows NT, CN = Services, CN = Configuration, DC =Ko�enov� dom�ny dom�nov� struktury
Vyhled�n� objektu adres��ov� slu�by a pak Poklepejte na n�j.
Zkontrolujte atribut objektu zobrazen� na prav� stran� ur�it, zda dsHeuristics atribut je ji� nastaven. Pokud je nastaven, zkop�rujte do schr�nky existuj�c� hodnotu.
Klepn�te prav�m tla��tkem my�i Adres��ov� slu�by objekty na lev� stran� a potom klepn�te na tla��tko Upravit.
Zadejte jako n�zev atributudsHeuristics.
Jako hodnotu zadejte n�sleduj�c� p��kaz: 000000000100000f. Co je pravd�podobn� ji� nahradit nuly v prvn� ��sti hodnoty v dsHeuristics. Ujist�te se, zda m�te spr�vn� po�et ��slic a� "f" nebo jak�koli bity, kter� chcete nastavit.

Pozn�mka: Ov��te, �e je upravov�na spr�vn� znaky, ka�d� des�t� znak mus� b�t nastaven na po�et znak� a� do okam�iku d�len� deset. Des�t� znak mus� b�t nap��klad 1, dvac�t� znak mus� b�t 2, t�ic�t�m znak mus� b�t 3, atd.
Pokud atribut ji� existuje, klepn�te na tla��tkoNahradit v Operace pole. V opa�n�m p��pad� Klepn�te na tla��tko P�idat.
Stiskn�te kl�vesu ENTER na prav� stran� operace skupin� p�idat k transakci LDAP.
Klepn�te na tla��tko Spustit pou��t zm�ny objekt. Po t�to zm�n� je replikov�na do emul�tory prim�rn�ho �adi�e dom�ny v dom�nov� struktu�e, kter� b�� tato oprava hotfix nebude chr�nit u�ivatele, kte�� jsou �leny nastaven�ch bit� pro skupiny hospod��sk�ch subjekt�.

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Jak pot�e obej�t

Chcete-li tento probl�m vy�e�it, pou�ijte jednu z n�sleduj�c�ch metody.

Metoda 1: P�esv�d�te se, zda �lenov� nejsou �leny skupiny chr�n�n�

Pou��v�te-li opr�vn�n�, kter� jsou delegov�ny na organiza�n� jednotka �rove�, ujist�te se, �e jsou v�ichni u�ivatel�, kte�� vy�aduj� delegovan� opr�vn�n� nejsou �leny jedn� z chr�n�n�ch skupin. Pro u�ivatele, kte�� byli d��ve �lenov� skupiny chr�n�n�, p��znak d�di�nosti nen� automaticky vynulov�n. Kdy� u�ivatel odebr�n ze chr�n�n� skupiny. Chcete-li to prov�st, m��ete N�sleduj�c� skript.

Pozn�mka: Tento skript kontroluje d�di�nost p��znak pro v�echny u�ivatele, jejich� AdminCount nastaven na hodnotu 1. Pokud je zak�z�no d�di�nost (SE_DACL_PROTECTED je nastaveno), skript umo�n� d�di�nosti. Pokud je ji� povoleno d�di�nosti, d�di�nost, z�stane aktivov�n. AdminCount nav�c bude nastavena na hodnotu 0. P�i op�tovn�m spu�t�n� podprocesu adminSDHolder zak�zat d�di�nost a nastavte AdminCount 1 pro v�echny u�ivatele, kte�� z�st�vaj� v chr�n�n�ch skupin. Proto AdminCount a d�di�nosti jsou spr�vn� nastaveny pro v�echny u�ivatele, kte�� ji� �lenov� skupiny chr�n�n�.

D�le�it�: Pokud je tento skript spu�t�n z po��ta�e se syst�mem Syst�m Windows Vista a vy��, pros�m do p��kazov�ho ��dku spustit s opr�vn�n�mi pro spr�vu a spus�te tento skript.

Pomoc� n�sleduj�c�ho p��kazu spus�te skript:

cscript/nologo resetaccountsadminsdholder.vbs

Microsoft bu� poskytuje uk�zky programov�n� pouze pro ilustraci bez ��dn� z�ruky ani p�edpokl�dan�. To zahrnuje, ale nen� omezen pouze na, ml�ky z�ruk obchodovatelnosti nebo vhodnosti pro ur�it� ��el. V tomto �l�nku p�edpokl�d� se, �e jste obezn�meni s programovac�m jazykem, kter� je prok�zan� a s n�stroji, kter� slou�� k vytvo�en� a lad�n� postupy. Pracovn�ci podpory spole�nosti Microsoft mohou vysv�tlit funkce konkr�tn� postup, ale budou tyto p��klady upravovat poskytov�n� p�idan� funkce nebo konstrukce postupy podle sv�ch specifick�ch po�adavk�.

'********************************************************************
'*
'* File:           ResetAccountsadminSDHolder.vbs 
'* Created:        November 2003
'* Version:        1.0
'*
'*  Main Function:  Resets all accounts that have adminCount = 1 back
'*	to 0 and enables the inheritance flag
'*
'*  ResetAccountsadminSDHolder.vbs 
'*
'* Copyright (C) 2003 Microsoft Corporation
'*
'********************************************************************

Const SE_DACL_PROTECTED = 4096

On Error Resume Next

Dim sDomain
Dim sADsPath
Dim sPDC


Dim oCon 
Dim oCmd
Dim oRst
Set oRst = CreateObject("ADODB.Recordset")
Set oCmd = CreateObject("ADODB.Command")
Set oCon = CreateObject("ADODB.Connection")

Dim oRoot
Dim oDomain
Dim oADInfo
Dim oInfo
Set oADInfo = CreateObject("ADSystemInfo")
Set oInfo = CreateObject("WinNTSystemInfo")
sPDC = oInfo.PDC & "." & oADInfo.DomainDNSName

oCon.Provider = "ADSDSOObject"
oCon.Open "Active Directory Provider"

oCmd.ActiveConnection = oCon

Set oRoot = GetObject("LDAP://rootDSE")
sDomain = oRoot.Get("defaultNamingContext")
Set oDomain = GetObject("LDAP://" & sDomain)
sADsPath = "<" & oDomain.ADsPath & ">"

oCmd.CommandText = "SELECT ADsPath FROM 'LDAP://" & sPDC & "/" & sDomain & "' WHERE objectCategory='person' and objectClass = 'user' AND adminCount = 1"
Set oRst = oCmd.Execute

WScript.Echo "searching for objects with 'admin count = 1' in " & sDomain

If oRst.RecordCount = 0 Then
    WScript.Echo "no accounts found"
    WScript.Quit
End If

Do While Not oRst.EOF
    WScript.Echo  "found object " & oRst.Fields("ADsPath")
    If SetInheritanceFlag(oRst.Fields("ADsPath")) = 0 Then WScript.Echo "Inheritance flag set"
    If SetAdminCount(oRst.Fields("ADsPath"), 0) = 0 Then WScript.Echo "adminCount set to 0"
    WScript.Echo  "=========================================="
    oRst.MoveNext
Loop


Private Function SetInheritanceFlag(DSObjectPath)

    Dim oSD
    Dim oDACL
    Dim lFlag
    Dim oIADs

    Set oIADs = GetObject(DSObjectPath)

    Set oSD = oIADs.Get("nTSecurityDescriptor")

    If oSD.Control And SE_DACL_PROTECTED Then
        oSD.Control = oSD.Control - SE_DACL_PROTECTED
    End If

    oIADs.Put "nTSecurityDescriptor", oSD
    oIADs.SetInfo
    
    If Err.Number <> 0 Then
        SetInheritanceFlag = Err.Number
    Else
        SetInheritanceFlag = 0
    End If

End Function


Private Function SetAdminCount(DSObjectPath, AdminCount)

    Dim oIADs
    Dim iAdminCount

    Set oIADs = GetObject(DSObjectPath)

    iAdminCount = oIADs.Get("adminCount")

    If iAdminCount = 1 Then iAdminCount = 0

    oIADs.Put "adminCount", iAdminCount
    oIADs.SetInfo
    If Err.Number <> 0 Then
        SetAdminCount = Err.Number
    Else
        SetAdminCount = 0
    End If
    
End Function

Ujist�te se, �e jste nep��zniv� neovlivn� u�ivatel�, doporu�ujeme, abyste �e nejprve v�pisu u�ivatel�, kte�� AdminCount na hodnotu 1 pomoc� programu Ldifde.exe. Chcete-li to prov�st, zadejte na p��kazov�m ��dku n�sleduj�c� p��kaz a stiskn�te kl�vesu ZADEJTE:

ldifde -f Admincount-1.txt - d dc =va�e dom�ny -r "(& (objectcategory=person)(objectclass=user)(admincount=1))"

Zkontrolujte v�stupn� soubor potvrdit, �e v�ichni u�ivatel� kdo bude m�t budou chr�n�ny DACL bitem, spr�vn� opr�vn�n� zd�d�n� p��stup ��zena pouze polo�ky (ACE). Tato metoda up�ednost�ov�na a nen� k oslaben� zabezpe�en� existuj�c�.

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Metoda 2: Povolen� d�di�nosti v kontejneru objektem adminSDHolder

Pokud povol�te d�di�nosti na n�dob� adminSDHolder v�echny �lenov� skupin chr�n�n� maj� zd�d�n� opr�vn�n�, kter� jsou povoleny. Z hlediska funkce zabezpe�en�, tato metoda vr�t� chov�n� objektem adminSDHolder kontejner zp�t k funkci pou��vaj� aktualizac� Service Pack 4.

Povolen� d�di�nosti v kontejneru objektem adminSDHolder

Pokud povol�te d�di�nosti na n�dob� adminSDHolder jeden z Tyto dva mechanismy ��zen� seznam (ACL) ochrann� p��stup zak�z�n. Na v�choz� opr�vn�n� plat�. Je v�ak chr�nit v�echny �leny skupiny d�dit opr�vn�n� z organiza�n� jednotky a v�echny nad�azen� organiza�n� jednotky, pokud je d�di�nost povolena na �rovni organiza�n� jednotky.

K poskytuj� ochranu d�di�nost pro spr�vu u�ivatel�, p�esu�te v�echny pro spr�vu u�ivatel� (a ostatn� u�ivatel�, kte�� vy�aduj� ochranu d�di�nosti) na vlastn� organiza�n� jednotky. Na �rovni organiza�n� jednotky odebr�n� d�di�nost a potom nastavit opr�vn�n� tak, aby odpov�dala aktu�ln� seznamy ACL na kontejner adminSDHolder. Proto�e opr�vn�n� na kontejner objektem adminSDHolder m��e se li�it (nap��klad Microsoft Exchange Server p�id� n�kter� opr�vn�n� nebo opr�vn�n� m��e byly upraveny), zkontrolujte �lenem chr�n�n� skupinu pro aktu�ln� opr�vn�n� na kontejner adminSDHolder. Uv�domte si, �e u�ivatel rozhran� (UI) nezobrazuje v�echna opr�vn�n� na kontejner adminSDHolder. DSacls slou�� k zobrazen� v�ech opr�vn�n� na kontejner adminSDHolder.

D�di�nost adminSDHolder kontejneru m��ete povolit pomoc� n�stroje ADSI Edit nebo Active Directory Users and Computers. Cesta ke kontejneru objektem adminSDHolder je CN = adminSDHolder, CN = System, DC =<mydomain>, DC =<com><b00></b00></com></mydomain>

Pozn�mka: Pou��v�te-li Active Directory Users and Computers, ujist�te se, �e Roz��en� funkce je vybr�n v Zobrazen�nab�dka.

Povolen� d�di�nosti v kontejneru adminSDHolder:

Klepn�te prav�m tla��tkem my�i na kontejner a potom klepn�te na tla��tkoVlastnosti.
Klepn�te Zabezpe�en� na kart�.
Klepn�te na tla��tko Up�esnit.
Klepnut�m vyberte Povolit p�enesen� d�di�n�ch opr�vn�n� na tento objekt a v�echny pod��zen� objekty Za�krt�vac� pol��ko .
Klepn�te na tla��tko OKa klepn�te na tla��tkoZav��t.

Je p��znak d�di�nosti p�i p��t�m spu�t�n� podprocesu SDProp nastavit v�echny �leny skupin chr�n�n�. Tento proces m��e trvat a� 60 minut. Ponechte dostate�n� �as pro tuto zm�nu k replikaci z prim�rn�ho �adi� dom�ny (PDC).

Metoda 3: Zabr�nit d�di�nosti a pouze zm�nit seznamy ��zen� p��stupu

Pokud nechcete, aby u�ivatel�, kte�� jsou �leny skupiny chr�n�n� na d�dit opr�vn�n�, u�ivatel� jsou um�st�ny v kontejneru a pouze Chcete zm�nit zabezpe�en� objekt� u�ivatele, m��ete upravit zabezpe�en� na kontejner adres��e adminSDHolder. V tomto p��pad� nen� nutn� Povolte d�di�nosti v kontejneru adminSDHolder. Budete muset p�idat skupiny nebo upravit zabezpe�en� skupin zabezpe�en�, kter� jsou ji� definov�ny na kontejner adminSDHolder. Za hodinu, SDProp vl�kno pou�ije zm�ny seznam� ACL kontejneru adminSDHolder v�em �len�m chr�n�n� skupiny. �lenov� nezd�d� zabezpe�en� kontejneru byly um�st�ny.

Nap��klad vlastn� ��et vy�aduje Umo��uje ��st v�echny vlastnosti doprava. Upravit nastaven� zabezpe�en� adminSDHolder kontejneru na Povolit toto pr�vo vlastn� ��et. Toto pr�vo bude po jednu hodinu, povoleno vlastn� ��et pro v�echny u�ivatele, kte�� jsou �leny skupiny chr�n�n�. P��znak d�di�nosti se nezm�n�.

N�sleduj�c� p��klad ukazuje, jak pou��t zm�ny na objektem adminSDHolder pouze objekt. Tento p��klad povol� n�sleduj�c� opr�vn�n� na objektem adminSDHolder objekt:

Vypisovat obsah
��st v�echny vlastnosti
Zapisovat v�echny vlastnosti

Ud�lit opr�vn�n� na objektem adminSDHolder objekt, postupujte takto:

Po��ta�e a u�ivatel� slu�by Active Directory klepn�te na tla��tkoRoz��en� funkce v Zobrazen�nab�dka.
Vyhledejte objektem adminSDHolder objekt. Na objekt je v n�sleduj�c�m um�st�n� pro ka�dou dom�nu slu�by Active Directory dom�nov� struktury:CN = adminSDHolder, CN = System,DC = dom�na, DC = com ZdeDC = dom�na, DC = com rozli�uj�c� n�zev dom�na.
Klepn�te prav�m tla��tkem my�i objektem adminSDHoldera klepn�te na tla��tkoVlastnosti.
V Vlastnosti Dialogov� okno, klepn�teZabezpe�en� kartu a pot� klepn�te na Up�esnit.
V ��zen� p��stupu objektem adminSDHolder Dialogov� okno, klepn�te na tla��tko P�idat vOpr�vn�n� na kart�.
V Vyberte u�ivatele, po��ta�e nebo skupinydialogov�m okn� klepn�te na ��et, ke kter�mu chcete ud�lit opr�vn�n� souvisej�c�, a potom klepn�te na tla��tko OK.
V Polo�ka opr�vn�n� pro objektem adminSDHolderDialogov� okno, klepn�te na tla��tko Pouze tento objekt v Pou��t do pole a pak klepn�te na tla��tko Vypisovat obsah, Pro �ten� V�echny vlastnosti, a Zapisovat v�echny vlastnosti pr�v.
Klepn�te na tla��tko OK Zav�ete Opr�vn�n� Polo�ka pro objektem adminSDHolder dialogov�m ��zen� p��stupu Nastaven� objektem adminSDHolder Dialogov� okno a objektem adminSDHolder Vlastnosti Dialogov� okno.

Do jedn� hodiny bude aktualizov�n seznam ��zen� p��stupu u objekt� u�ivatele. p�idru�en� chr�n�n�ch skupin tak, aby odr�ely zm�ny.Dal�� informace z�sk�te klepnut�m na tla��tko naleznete v n�sleduj�c�ch �l�nc�ch znalostn� b�ze spole�nosti Microsoft:

232199

(http://support.microsoft.com/kb/232199/ )

Popis a aktualizace adminSDHolder objektu slu�by Active Directory

318180

(http://support.microsoft.com/kb/318180/ )

Objekt adminSDHolder ovliv�uje tranzitivn� �leny distribu�n�ch skupin

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Prohl�en�

Spole�nost Microsoft potvrzuje, �e se jedn� o probl�m v produktech t�to spole�nosti, kter� jsou uvedeny v ��sti "Plat� pro". Tento probl�m byl poprv� opraven v aktualizaci Windows Server 2003 Service Pack 1.

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Dal�� informace

Slu�ba Active Directory pou��v� ochrann� mechanismus, zda �e ACL jsou spr�vn� nastaveny pro �leny citliv�ch skupin. Spou�t� mechanismus jednou za hodinu na hlavn�m opera�n�m serveru prim�rn�ho �adi�e dom�ny. Porovn� hlavn� operace chr�n�n� ACL na u�ivatelsk� ��ty, kter� jsou �leny skupiny proti ACL pro n�sleduj�c� objekt:

CN = adminSDHolder, CN = System, DC =<mydomain></mydomain>DC =<com></com>

Pozn�mka:"DC =<mydomain></mydomain>DC =<com></com>" p�edstavuje rozli�uj�c� n�zev (DN) v dom�n�.

Pokud je seznam ACL r�zn�, je p�eps�n ACL v objektu u�ivatele tak, aby odr�ely zabezpe�en� Objekt adminSDHolder nastaven� (a d�di�nost ACL je zak�z�n). To proces chr�n� tyto ��ty z pr�v� upravuje neopr�vn�n�m u�ivatel�m, pokud ��ty jsou p�esunuty do kontejneru nebo organiza�n� jednotku, kde zl�mi �mysly U�ivatel byl delegovan�ch pov��en� pro spr�vu u�ivatelsk�ch ��t� zm�nit. Uv�domte si, �e po odebr�n� u�ivatele ze skupiny pro spr�vu procesu je nen� stornov�na a mus� b�t ru�n� zm�n�n.

Pozn�mka: ��zen� frekvence Objekt adminSDHolder aktualizace zabezpe�en� popisova�e, vytvo�te nebo zm��te AdminSDProtectFrequency polo�ka v n�sleduj�c�m podkl��i registru:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters

Pokud polo�ka registru AdminSDProtectFrequency nen� p��tomen, Objekt adminSDHolder aktualizace popisova�e zabezpe�en� ka�d�ch 60 minut (3 600 sekundy). Tato polo�ka registru lze nastavit libovoln� sazb� tato frekvence mezi 1 minuta (60 sekund) a zad�n�m hodnoty 2 hodiny (7200 sekund) v sekund�ch. V�ak nedoporu�ujeme upravovat tuto hodnotu s v�jimkou Stru�n� zku�ebn� obdob�. Zm�na hodnoty m��ete zv��it LSASS zpracov�n� Re�ijn� n�klady.

N�sleduj�c� seznam popisuje chr�n�n� skupiny v syst�mu Windows 2000:

Enterprise Admins.
Schema Admins
Domain Admins
Spr�vci

N�sleduj�c� seznam popisuje chr�n�n�ch skupin v Windows Server 2003 a Windows 2000, po kter� opravy 327825 hotfix nebo nainstalujete aktualizaci Windows 2000 Service Pack 4:

Spr�vci
Account Operators
Server Operators
Print Operators
Oper�to�i z�lohov�n�
Domain Admins
Schema Admins
Enterprise Admins.
Cert Publishers

D�le n�sleduj�c� u�ivatel� jsou rovn� pova�ov�ny za chr�n�n�:

Spr�vce
KRBTGT

Uv�domte si, nenapl�uje �lenstv� v distribu�n�ch skupin token u�ivatele. Proto nelze pou��t n�stroje, nap��klad "whoami" na �sp�n� Ur�ete �lenstv� ve skupin�.

Dal�� informace o p�id�lena Spr�va, stahov�n� Doporu�en� postupy pro delegov�n� spr�vy slu�by Active Directory dokument White paper. Chcete-li to prov�st, nav�tivte n�sleduj�c� Web spole�nosti Microsoft:

http://www.microsoft.com/downloads/details.aspx?FamilyId=631747a3-79e1-48fa-9730-dae7c0a1d6d3&displaylang=en

(http://www.microsoft.com/downloads/details.aspx?familyid=631747a3-79e1-48fa-9730-dae7c0a1d6d3&displaylang=en)

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Vlastnosti

ID �l�nku: 817433 - Posledn� aktualizace: 20. kv�tna 2011 - Revize: 26.0

Informace v tomto �l�nku jsou ur�eny pro produkt:

Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Small Business Server 2003 Premium Edition
Microsoft Windows Small Business Server 2003 Standard Edition

kbautohotfix kbwinserv2003sp1fix atdownload kbhotfixserver kbqfe kbmt KB817433 KbMtcs

Strojov� p�elo�en� �l�nek

D�le�it�: Tento �l�nek byl p�elo�en pomoc� software spole�nosti Microsoft na strojov� p�eklad, ne profesion�ln�m p�ekladatelem. Spole�nost Microsoft nab�z� jak �l�nky p�elo�en� p�ekladatelem, tak �l�nky p�elo�en� pomoc� software na strojov� p�eklad, tak�e v�echny �l�nky ve Znalostn� datab�zi (Knowledge Base) jsou dostupn� v �e�tin�. P�eklad pomoc� software na strojov� p�eklad ale nen� bohu�el v�dy dokonal�. Obsahuje chyby ve sklo�ov�n� slov, skladb� v�t, nebo gramatice, podobn� jako kdy� cizinci d�laj� chyby p�i mluven� v �e�tin�. Spole�nost Microsoft nen� pr�vn� zodpov�dn� za nep�esnosti, chyby nebo �kody vznikl� chybami v p�ekladu, nebo p�i pou�it� nep�esn� p�elo�en�ch instrukc� v �l�nku z�kazn�kem. Spole�nost Microsoft aktualizuje software na strojov� p�eklad, aby byl po�et chyb omezen na minimum.

Projd�te si tak� anglickou verzi �l�nku:817433

(http://support.microsoft.com/kb/817433/en-us/ )

Zp�t nahoru | Dejte n�m zp�tnou vazbu