将OU级别的权限应用于AD中的所有子对象？

我们有一个运行Active Directory的Windows 2008R2服务器，我已经编写了一个C＃应用程序，允许IT人员将新用户添加到AD中。我在创build或更新用户方面没有任何问题，但是当需要将它们添加到不同的安全组时，我遇到了权限问题。在使用IT之后，我们发现我需要读，写，创build子对象和删除子对象。当我们直接向安全组指定这些权限时，现在可以正常工作，但是如果我们在OU级应用这些相同的权限，则无法修改各个组的成员。任何人都可以帮助我们找出在OU级别需要授予什么权限，以便我可以添加/删除该OU中的任何组的成员？

需要访问控制条目来授予后代组对象的指定安全主体权限以更新成员属性：

在这里输入图像说明

微软有一个方便的指南。这是写有关Windows Server 2003，但仍然是98％的实际。这将是有用的，有必要有select地授权在Active Directory中。

关于ACLinheritance选项可以在/I键dsacls实用程序的说明中find。

还应该考虑到AdminSDHolder机制，它可以导致委派权限时出现意想不到的问题。

要委派在特定OU（与组）中添加/删除组中成员的权限，您需要执行以下命令：

 dsacls <full distinguished name of OrganizationalUnit> /I:S /G "<secutity name>:WP;member;group"

哪里：

<full distinguished name of OrganizationalUnit> – 您想要委派更改组权限的组织单位的完整专有名称。

<secutity name> – 用户或（更好的）组名称，将被授权到右侧。