8、Windows Server 2003 Active Directory管理：策略与结构部署

Windows Server 2003 Active Directory管理：策略与结构部署

1. 行政责任委派策略规划

1.1 组织单位（OU）的控制委派

组织单位（OU）的一个主要优势是允许管理员对域对象的特定部分进行控制委派。与Active Directory站点的控制委派概念类似，OU也有访问控制列表（ACL）来决定谁可以执行什么操作。

要确保“安全”选项卡可用，需通过点击“视图”菜单，然后选择“高级功能”来开启高级特性。部分默认容器（如“用户”和“内置”文件夹）并非组织单位，因此无法对其进行控制委派。若要进行委派，可查看Active Directory图标（类似电话簿的图标）。

通过编辑访问控制列表的内容，可以对用户进行控制委派。点击“高级”按钮，能访问各个访问控制条目（ACE），从而精确指定所授予的控制类型。例如，可赋予单个用户更改用户账户密码的权限，而无其他管理权限。操作步骤如下：
1. 点击用户访问控制权限条目的“编辑”。
2. 在出现的“权限条目”对话框中进行设置（可能需要先将用户或组添加到ACE列表）。

这也凸显了安全组和组织单位之间的差异。组织单位是行政实体，我们对OU进行行政控制委派，而将控制委派给安全组中的用户。并且，控制权限是针对OU中包含的用户、计算机、组、打印机等对象授予的。

1.2 控制委派向导

还可使用“控制委派向导”将管理任务委派给用户。该向导界面简化了手动编辑ACL的过程，但最终结果相同。与在Active Directory站点控制委派中类似，不过对组织单位的控制委派可能包含更多步骤和不同任务。例如，无法在站点中创建用户账户，但使用向