Autorisations déléguées ne sont pas disponibles et l’héritage est désactivé automatiquement

Informations sur le correctif Windows 2000

Un correctif pris en charge est disponible auprès de Microsoft. Toutefois, ce correctif vise à corriger uniquement le problème décrit dans cet article. Appliquez ce correctif uniquement aux systèmes rencontrant ce problème spécifique.

Si le correctif est disponible pour le téléchargement, il existe une section « Téléchargement de correctif logiciel disponible » au début de cet article de la Base de connaissances. Si cette section n’apparaît pas, soumettez une demande au Service Clients et Support de Microsoft pour obtenir le correctif.

Remarque Si des problèmes supplémentaires se produisent ou si des procédures de dépannage sont nécessaires, vous devrez peut-être formuler une demande de service distincte. Les coûts habituels du support technique s'appliqueront aux questions et problèmes qui ne relèvent pas de ce correctif logiciel. Pour une liste complète des numéros de téléphone service clientèle de Microsoft ou pour créer une demande de service distincte, visitez le site Web de Microsoft à l’adresse suivante :

http://support.microsoft.com/contactus/?ws=supportRemarque Le formulaire « Téléchargement de correctif logiciel disponible » affiche les langues pour lesquelles le correctif est disponible. Si vous ne voyez pas votre langue, c'est parce qu'il n'y a pas de correctif disponible pour cette langue.

Informations sur le service pack Windows Server 2003

Pour résoudre ce problème, procurez-vous le dernier service pack pour Windows Server 2003. Pour plus d'informations, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

889100 comment faire pour obtenir le dernier service pack pour Windows Server 2003

Informations sur le correctif Windows Server 2003

Un correctif pris en charge est disponible auprès de Microsoft. Toutefois, ce correctif vise à corriger uniquement le problème décrit dans cet article. Appliquez ce correctif uniquement aux systèmes rencontrant ce problème spécifique. Ce correctif va peut-être subir des tests supplémentaires. Par conséquent, si vous n'êtes pas sérieusement concerné par ce problème, nous vous recommandons d'attendre la prochaine mise à jour logicielle qui contiendra ce correctif.

Si le correctif est disponible pour le téléchargement, il existe une section « Téléchargement de correctif logiciel disponible » au début de cet article de la Base de connaissances. Si cette section n'apparaît pas, contactez le Service clientèle et Support de Microsoft pour obtenir le correctif.

Remarque Si des problèmes supplémentaires se produisent ou si des procédures de dépannage sont nécessaires, vous devrez peut-être formuler une demande de service distincte. Les coûts habituels du support technique s'appliqueront aux questions et problèmes qui ne relèvent pas de ce correctif logiciel. Pour une liste complète des numéros de téléphone service clientèle de Microsoft ou pour créer une demande de service distincte, visitez le site Web de Microsoft à l’adresse suivante :

http://support.microsoft.com/contactus/?ws=supportRemarque Le formulaire « Téléchargement de correctif logiciel disponible » affiche les langues pour lesquelles le correctif est disponible. Si vous ne voyez pas votre langue, c'est parce qu'il n'y a pas de correctif disponible pour cette langue. Version l’anglaise de ce correctif possède les attributs de fichier (ou ultérieure) répertoriés dans le tableau suivant. Les dates et heures de ces fichiers sont répertoriées en temps universel coordonné (UTC). Lorsque vous affichez les informations de fichier, elles sont converties en heure locale. Pour trouver la différence entre l’UTC et l’heure locale, utilisez l’onglet fuseau horaire dans l’élément de Date et d’heure dans le panneau de configuration.

Méthode 1 : Assurez-vous que les membres ne sont pas membres d’un groupe protégé

Si vous utilisez des autorisations qui sont déléguées au niveau de l’unité d’organisation, assurez-vous que tous les utilisateurs qui nécessitent des autorisations déléguées ne sont pas membres de l’un des groupes protégés. Pour les utilisateurs qui étaient déjà membres d’un groupe protégé, l’indicateur d’héritage n’est pas automatiquement réinitialisé lorsque l’utilisateur est supprimé d’un groupe protégé. Pour ce faire, vous pouvez utiliser le script suivant.

Remarque Ce script vérifie l’indicateur d’héritage pour tous les utilisateurs, dont AdminCount est défini sur 1. Si l’héritage est désactivé (SE_DACL_PROTECTED a), le script permettra à l’héritage. Si l’héritage est déjà activé, l’héritage restera activé. En outre, AdminCount sera remis à 0. Lorsque le thread adminSDHolder s’exécute à nouveau, il désactivera l’héritage et AdminCount la valeur 1 pour tous les utilisateurs qui restent dans les groupes protégés. Par conséquent, les AdminCount et l’héritage sont définies correctement pour tous les utilisateurs qui ne sont plus membres de groupes protégés.

Important : Si vous exécutez ce script à partir d’un système en cours d’exécution Windows Vista et les versions ultérieures, ouvrez une invite de commandes avec des privilèges d’administration , puis exécutez ce script.

Utilisez la commande suivante pour exécuter le script :

cscript /nologo resetaccountsadminsdholder.vbs

Microsoft fournit des exemples de programmation à titre d'illustration uniquement, sans garantie expresse ou implicite. Ceci inclut, mais n'est pas limité à, les garanties implicites de qualité marchande ou d'adéquation à un usage particulier. Cet article suppose que vous êtes familiarisé avec le langage de programmation présenté et les outils utilisés pour créer et déboguer des procédures. Les ingénieurs du support technique Microsoft peuvent vous expliquer les fonctionnalités d'une procédure particulière, mais ils ne modifieront pas ces exemples pour fournir des fonctionnalités supplémentaires ou créer des procédures répondant à vos besoins spécifiques.

'********************************************************************
'*
'* File:           ResetAccountsadminSDHolder.vbs 
'* Created:        November 2003
'* Version:        1.0
'*
'*  Main Function:  Resets all accounts that have adminCount = 1 back
'*to 0 and enables the inheritance flag
'*
'*  ResetAccountsadminSDHolder.vbs 
'*
'* Copyright (C) 2003 Microsoft Corporation
'*
'********************************************************************

Const SE_DACL_PROTECTED = 4096

On Error Resume Next

Dim sDomain
Dim sADsPath
Dim sPDC


Dim oCon 
Dim oCmd
Dim oRst
Set oRst = CreateObject("ADODB.Recordset")
Set oCmd = CreateObject("ADODB.Command")
Set oCon = CreateObject("ADODB.Connection")

Dim oRoot
Dim oDomain
Dim oADInfo
Dim oInfo
Set oADInfo = CreateObject("ADSystemInfo")
Set oInfo = CreateObject("WinNTSystemInfo")
sPDC = oInfo.PDC & "." & oADInfo.DomainDNSName

oCon.Provider = "ADSDSOObject"
oCon.Open "Active Directory Provider"

oCmd.ActiveConnection = oCon

Set oRoot = GetObject("LDAP://rootDSE")
sDomain = oRoot.Get("defaultNamingContext")
Set oDomain = GetObject("LDAP://" & sDomain)
sADsPath = "<" & oDomain.ADsPath & ">"

oCmd.CommandText = "SELECT ADsPath FROM 'LDAP://" & sPDC & "/" & sDomain & "' WHERE objectCategory='person' and objectClass = 'user' AND adminCount = 1"
Set oRst = oCmd.Execute

WScript.Echo "searching for objects with 'admin count = 1' in " & sDomain

If oRst.RecordCount = 0 Then
    WScript.Echo "no accounts found"
    WScript.Quit
End If

Do While Not oRst.EOF
    WScript.Echo  "found object " & oRst.Fields("ADsPath")
    If SetInheritanceFlag(oRst.Fields("ADsPath")) = 0 Then WScript.Echo "Inheritance flag set"
    If SetAdminCount(oRst.Fields("ADsPath"), 0) = 0 Then WScript.Echo "adminCount set to 0"
    WScript.Echo  "=========================================="
    oRst.MoveNext
Loop


Private Function SetInheritanceFlag(DSObjectPath)

    Dim oSD
    Dim oDACL
    Dim lFlag
    Dim oIADs

    Set oIADs = GetObject(DSObjectPath)

    Set oSD = oIADs.Get("nTSecurityDescriptor")

    If oSD.Control And SE_DACL_PROTECTED Then
        oSD.Control = oSD.Control - SE_DACL_PROTECTED
    End If

    oIADs.Put "nTSecurityDescriptor", oSD
    oIADs.SetInfo

    If Err.Number <> 0 Then
        SetInheritanceFlag = Err.Number
    Else
        SetInheritanceFlag = 0
    End If

End Function


Private Function SetAdminCount(DSObjectPath, AdminCount)

    Dim oIADs
    Dim iAdminCount

    Set oIADs = GetObject(DSObjectPath)

    iAdminCount = oIADs.Get("adminCount")

    If iAdminCount = 1 Then iAdminCount = 0

    oIADs.Put "adminCount", iAdminCount
    oIADs.SetInfo
    If Err.Number <> 0 Then
        SetAdminCount = Err.Number
    Else
        SetAdminCount = 0
    End If

End Function

Pour vous assurer que vous n'affectez pas négativement les utilisateurs, nous vous recommandons d'exporter tout d'abord les comptes qui ont AdminCount à 1 en utilisant Ldifde.exe. Pour ce faire, tapez la commande suivante à l'invite de commande et appuyez sur ENTRÉE :

Voir version US: de ldifde -f Admincount-1 - d =votre domaine - r "(& (objectcategory=person)(objectclass=user)(admincount=1))"Vérifier le fichier de sortie pour confirmer que tous les utilisateurs qui auront le bit de DACL protégé remis à 0 auront les autorisations correctes avec uniquement les entrées de contrôle d'accès (ACEs) héritées. Cette méthode est préférable et n'affaiblit pas la sécurité existante.

Méthode 2 : Activer l’héritage sur le conteneur adminSDHolder

Si vous activez l’héritage sur le conteneur adminSDHolder, tous les membres de groupes protégés sont héritées activé. En termes de fonctionnalités de sécurité, cette méthode rétablit le comportement du conteneur adminSDHolder dans fonctionnalités antérieurs au Service Pack 4.

Méthode 3 : Éviter l'héritage et modifier uniquement les ACL

Si vous ne souhaitez pas que les utilisateurs qui sont membres de groupes de protection d’hériter des autorisations du conteneur utilisateurs résident dans, et que vous souhaitez modifier la sécurité sur les objets utilisateur uniquement, vous pouvez modifier la sécurité sur le répertoire de conteneur adminSDHolder. Dans ce scénario, vous n’êtes pas obligé d’activer l’héritage sur le conteneur adminSDHolder. Vous ne devrez ajouter ce groupe ou modifier la sécurité des groupes de sécurité qui sont déjà définies sur le conteneur adminSDHolder. Après une heure, le thread SDProp s’appliquent à la modification apportée à l’ACL du conteneur adminSDHolder à tous les membres de groupes protégés. Les membres n’héritera pas de la sécurité du conteneur qu’ils se trouvent dans.

Par exemple, le Self compte requiert le droit d’Autoriser à lire toutes les propriétés . Modifier les paramètres de sécurité du conteneur adminSDHolder pour autoriser ce droit lui-même compte. Après une heure, ce droit puisse la Self du compte pour tous les utilisateurs qui sont membres de groupes protégés. L’indicateur d’héritage n’est pas modifié.

L’exemple suivant montre comment appliquer les modifications sur l’objet adminSDHolder uniquement. Cet exemple accorde des autorisations suivantes sur le
objet adminSDHolder :

• Contenu de liste

• Lire toutes les propriétés

• Écrire toutes les propriétés

Pour accorder ces autorisations sur l’objet adminSDHolder , procédez comme suit :

1. Dans Active Directory utilisateurs et ordinateurs, cliquez sur
   Fonctionnalités avancées dans le menu affichage.

2. Localisez l’objet adminSDHolder . L’objet est à l’emplacement suivant pour chaque domaine dans la forêt Active Directory :
   CN = adminSDHolder, CN = System,DC = domaine, DC = com Ici,
   DC = domaine, DC = com est le nom unique du domaine.

3. AdminSDHolderd’avec le bouton droit, puis cliquez sur
   Propriétés.

4. Dans la boîte de dialogue Propriétés , cliquez sur le
   Sécurité onglet, puis cliquez sur Avancé.
   

5. Dans la boîte de dialogue Paramètres de contrôle d’accès pour adminSDHolder , cliquez sur Ajouter dans le
   Onglet autorisations .

6. Dans la boîte de dialogue Sélectionnez utilisateur, ordinateur ou groupe, cliquez sur le compte auquel vous souhaitez accorder les autorisations associées, puis cliquez sur OK.

7. Dans la boîte de dialogue Entrée d’autorisation pour adminSDHolder, cliquez sur cet objet uniquement dans la zone appliquer à , puis cliquez sur Afficher le contenu, Lire toutes les propriétéset écrire toutes les propriétés droits.
   

8. Cliquez sur OK pour fermer la boîte de dialogue Entrée d’autorisation pour adminSDHolder , la boîte de dialogue Paramètres de contrôle d’accès pour adminSDHolder et la boîte de dialogue Propriétés de adminSDHolder .

Dans l’heure, l’ACL sera mis à jour sur les objets utilisateur associés aux groupes protégés afin de refléter les modifications. Pour plus d’informations, cliquez sur les numéros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft :

Description et la mise à jour de l’objet adminSDHolder de Active Directory 232199

318180 thread AdminSDHolder affecte les membres transitifs des groupes de distribution