Los permisos delegados no están disponibles y la herencia está deshabilitada automáticamente

Información sobre hotfix de Windows 2000

Existe un hotfix disponible desde Microsoft. Sin embargo, esta revisión se diseñó para corregir únicamente el problema que se describe en este artículo. Aplíquela sólo a sistemas que experimenten este problema específico.

Si la revisión está disponible para su descarga, hay una sección de "Descarga de revisión disponible" en la parte superior de este artículo de Knowledge Base. Si esta sección no aparece, envíe una solicitud al servicio de atención al cliente y soporte técnico para obtener la revisión.

Nota: Si se producen problemas adicionales o si se requiere cualquier otra solución, será necesario crear una solicitud de revisión independiente. Los costos habituales de soporte se aplicarán a las preguntas de soporte técnico adicionales y problemas que no califican para esta revisión específica. Para obtener una lista completa de los números de teléfono de servicio al cliente de Microsoft o para crear una solicitud de servicio independiente, visite el siguiente sitio Web de Microsoft:

http://support.microsoft.com/contactus/?ws=supportNota: El formulario de "Descarga de Hotfix disponible" muestra los idiomas para los que el Hotfix está disponible. Si no ve su idioma, es porque no hay una revisión para ese idioma.

Información de service pack de Windows Server 2003

Para resolver este problema, obtenga el service pack más reciente para Windows Server 2003. Para obtener más información, haga clic en el siguiente número de artículo para verlo en Microsoft Knowledge Base:

889100 cómo obtener el service pack más reciente para Windows Server 2003

Información de hotfix de Windows Server 2003

Existe un hotfix disponible desde Microsoft. Sin embargo, esta revisión se diseñó para corregir únicamente el problema que se describe en este artículo. Aplíquela sólo a sistemas que experimenten este problema específico. Esta revisión podría ser sometida a comprobaciones adicionales. Por lo tanto, si no se ve muy afectado por este problema, recomendamos que espere a la próxima actualización de software que contenga este hotfix.

Si la revisión está disponible para su descarga, hay una sección de "Descarga de revisión disponible" en la parte superior de este artículo de Knowledge Base. Si esta sección no aparece, póngase en contacto con el servicio al cliente de Microsoft y soporte técnico para obtener la revisión.

Nota: Si se producen problemas adicionales o si se requiere cualquier otra solución, será necesario crear una solicitud de revisión independiente. Los costos habituales de soporte se aplicarán a las preguntas de soporte técnico adicionales y problemas que no califican para esta revisión específica. Para obtener una lista completa de los números de teléfono de servicio al cliente de Microsoft o para crear una solicitud de servicio independiente, visite el siguiente sitio Web de Microsoft:

http://support.microsoft.com/contactus/?ws=supportNota: El formulario de "Descarga de Hotfix disponible" muestra los idiomas para los que el Hotfix está disponible. Si no ve su idioma, es porque no hay una revisión para ese idioma. Versión del inglés de esta revisión tiene los atributos de archivo (o atributos de último archivo) mostrados en la tabla siguiente. Las fechas y horas de estos archivos se muestran en la hora Universal coordinada (UTC). Al ver la información del archivo, se convierte en hora local. Para encontrar la diferencia entre la hora UTC y la hora local, utilice la ficha zona horaria en el elemento fecha y hora del Panel de Control.

Método 1: Asegúrese de que los miembros no son miembros de un grupo protegido

Si utiliza los permisos que se delegan en el nivel de unidad organizativa, asegúrese de que todos los usuarios que requieren los permisos delegados no son miembros de uno de los grupos protegidos. Para los usuarios que anteriormente eran miembros de un grupo protegido, el indicador de herencia no se restablece automáticamente cuando se quita el usuario de un grupo protegido. Para ello, puede utilizar la siguiente secuencia de comandos.

Nota: Esta secuencia de comandos comprueba el indicador de herencia para todos los usuarios cuyo AdminCount se establece en 1. Si está deshabilitada la herencia (SE_DACL_PROTECTED está establecido), la secuencia de comandos permitirá la herencia. Si ya está habilitada la herencia, herencia permanecerá habilitada. Además, se restablecerán AdminCount en 0. Cuando se ejecuta de nuevo el subproceso adminSDHolder, se deshabilita la herencia y establezca AdminCount en 1 para todos los usuarios que permanecen en grupos protegidos. Por lo tanto, AdminCount y la herencia se establecen correctamente para todos los usuarios que no son miembros de grupos protegidos.

Importante: Si está ejecutando esta secuencia de comandos desde un sistema que ejecuta Windows Vista y superior, abra un símbolo del sistema con privilegios administrativos y, a continuación, ejecutar esta secuencia de comandos.

Utilice el siguiente comando para ejecutar la secuencia de comandos:

cscript /nologo resetaccountsadminsdholder.vbs

Microsoft proporciona ejemplos de programación únicamente con fines ilustrativos, sin ninguna garantía expresa o implícita. Esto incluye, pero no se limita, a las garantías implícitas de comerciabilidad o idoneidad para un propósito particular. Este artículo asume que está familiarizado con el lenguaje de programación que se muestra y con las herramientas que se utilizan para crear y depurar procedimientos. Los ingenieros de soporte técnico de Microsoft pueden explicarle la funcionalidad de un determinado procedimiento, pero no modificarán estos ejemplos para ofrecer mayor funcionalidad ni crearán procedimientos que cumplan sus requisitos específicos.

'********************************************************************
'*
'* File:           ResetAccountsadminSDHolder.vbs 
'* Created:        November 2003
'* Version:        1.0
'*
'*  Main Function:  Resets all accounts that have adminCount = 1 back
'*to 0 and enables the inheritance flag
'*
'*  ResetAccountsadminSDHolder.vbs 
'*
'* Copyright (C) 2003 Microsoft Corporation
'*
'********************************************************************

Const SE_DACL_PROTECTED = 4096

On Error Resume Next

Dim sDomain
Dim sADsPath
Dim sPDC


Dim oCon 
Dim oCmd
Dim oRst
Set oRst = CreateObject("ADODB.Recordset")
Set oCmd = CreateObject("ADODB.Command")
Set oCon = CreateObject("ADODB.Connection")

Dim oRoot
Dim oDomain
Dim oADInfo
Dim oInfo
Set oADInfo = CreateObject("ADSystemInfo")
Set oInfo = CreateObject("WinNTSystemInfo")
sPDC = oInfo.PDC & "." & oADInfo.DomainDNSName

oCon.Provider = "ADSDSOObject"
oCon.Open "Active Directory Provider"

oCmd.ActiveConnection = oCon

Set oRoot = GetObject("LDAP://rootDSE")
sDomain = oRoot.Get("defaultNamingContext")
Set oDomain = GetObject("LDAP://" & sDomain)
sADsPath = "<" & oDomain.ADsPath & ">"

oCmd.CommandText = "SELECT ADsPath FROM 'LDAP://" & sPDC & "/" & sDomain & "' WHERE objectCategory='person' and objectClass = 'user' AND adminCount = 1"
Set oRst = oCmd.Execute

WScript.Echo "searching for objects with 'admin count = 1' in " & sDomain

If oRst.RecordCount = 0 Then
    WScript.Echo "no accounts found"
    WScript.Quit
End If

Do While Not oRst.EOF
    WScript.Echo  "found object " & oRst.Fields("ADsPath")
    If SetInheritanceFlag(oRst.Fields("ADsPath")) = 0 Then WScript.Echo "Inheritance flag set"
    If SetAdminCount(oRst.Fields("ADsPath"), 0) = 0 Then WScript.Echo "adminCount set to 0"
    WScript.Echo  "=========================================="
    oRst.MoveNext
Loop


Private Function SetInheritanceFlag(DSObjectPath)

    Dim oSD
    Dim oDACL
    Dim lFlag
    Dim oIADs

    Set oIADs = GetObject(DSObjectPath)

    Set oSD = oIADs.Get("nTSecurityDescriptor")

    If oSD.Control And SE_DACL_PROTECTED Then
        oSD.Control = oSD.Control - SE_DACL_PROTECTED
    End If

    oIADs.Put "nTSecurityDescriptor", oSD
    oIADs.SetInfo

    If Err.Number <> 0 Then
        SetInheritanceFlag = Err.Number
    Else
        SetInheritanceFlag = 0
    End If

End Function


Private Function SetAdminCount(DSObjectPath, AdminCount)

    Dim oIADs
    Dim iAdminCount

    Set oIADs = GetObject(DSObjectPath)

    iAdminCount = oIADs.Get("adminCount")

    If iAdminCount = 1 Then iAdminCount = 0

    oIADs.Put "adminCount", iAdminCount
    oIADs.SetInfo
    If Err.Number <> 0 Then
        SetAdminCount = Err.Number
    Else
        SetAdminCount = 0
    End If

End Function

Para asegurarse de que no afectan negativamente los usuarios, se recomienda que primero volcar los usuarios que tienen AdminCount establecer 1 utilizando Ldifde.exe. Para ello, escriba el comando siguiente en un símbolo del sistema y, a continuación, presione ENTRAR:

ldifde -f Admincount-1.txt - d dc =su dominio - r "(& (objectcategory=person)(objectclass=user)(admincount=1))"Revisar el archivo de salida para confirmar que todos los usuarios que tendrán la DACL protección bits desactivada tendrá los permisos correctos con hereda entradas (ACE) de acceso controlado sólo. Este método es preferible y no debilite la seguridad existente.

Método 2: Habilitar la herencia en el contenedor adminSDHolder

Si habilita la herencia en el contenedor adminSDHolder, todos los miembros de los grupos protegidos han heredado permisos habilitados. En términos de funcionalidad de seguridad, este método cambia el comportamiento del contenedor adminSDHolder a la funcionalidad de anteriores al Service Pack 4.

Método 3: Evite una herencia y sólo cambiar las ACL

Si no desea que los usuarios que son miembros de grupos protegidos para heredar los permisos del contenedor que los usuarios residen en y desea cambiar la seguridad en los objetos de usuario, puede editar la seguridad en el directorio de contenedor adminSDHolder. En este escenario, no es necesario habilitar la herencia en el contenedor adminSDHolder. Sólo tienes que agregar ese grupo o modificar la seguridad de los grupos de seguridad que ya están definidos en el contenedor adminSDHolder. Después de una hora, el subproceso SDProp aplicará el cambio realizado en las ACL del contenedor adminSDHolder a todos los miembros de grupos protegidos. Los miembros no heredará la seguridad de que residen en el contenedor.

Por ejemplo, el Self cuenta requiere el derecho de Permitir para leer todas las propiedades . Editar la configuración de seguridad del contenedor adminSDHolder para permitir que este derecho de uno mismo cuenta. Después de una hora, este derecho se permitirá el Self cuenta para todos los usuarios que son miembros de grupos protegidos. No se cambia el indicador de herencia.

En el ejemplo siguiente se muestra cómo aplicar cambios en el objeto adminSDHolder . Este ejemplo otorga los siguientes permisos en la
objeto adminSDHolder :

• Mostrar el contenido

• Leer todas las propiedades

• Escribir todas las propiedades

Para conceder estos permisos en el objeto adminSDHolder , siga estos pasos:

1. Usuarios de Active Directory y equipos, haga clic en
   Características avanzadas en el menú Ver.

2. Busque el objeto adminSDHolder . El objeto está en la siguiente ubicación para cada dominio del bosque de Active Directory:
   CN = adminSDHolder, CN = System,DC = dominio, DC = com Aquí,
   DC = dominio, DC = com es el nombre completo del dominio.

3. Haga clic derecho en adminSDHoldery, a continuación, haga clic en
   Propiedades.

4. En el cuadro de diálogo Propiedades , haga clic en el
   Seguridad ficha y, a continuación, haga clic en Avanzadas.
   

5. En el cuadro de diálogo Configuración de Control de acceso para adminSDHolder , haga clic en Agregar en el
   Ficha permisos .

6. En el cuadro de diálogo Seleccionar usuario, equipo o grupo, haga clic en la cuenta a la que desea conceder permisos relacionados y, a continuación, haga clic en Aceptar.

7. En el cuadro de diálogo Entrada de permiso para adminSDHolder, haga clic en sólo este objeto en el cuadro Aplicar en y, a continuación, haga clic en Mostrar contenido, Leer todas las propiedadesy derechos de escribir todas las propiedades.
   

8. Haga clic en Aceptar para cerrar el cuadro de diálogo Entrada de permiso para adminSDHolder , el cuadro de diálogo Configuración de Control de acceso para adminSDHolder y el cuadro de diálogo Propiedades de adminSDHolder .

Dentro de una hora, se actualizará la lista ACL en los objetos de usuario asociados con los grupos protegidos para reflejar los cambios. Para obtener más información, haga clic en los números de artículo siguientes para verlos en Microsoft Knowledge Base:

232199 descripción y actualización del objeto adminSDHolder de Active Directory

318180 el subproceso AdminSDHolder afecta a los miembros transitivos de los grupos de distribución