为什么我的用户帐户不能删除Powershell中的AD计算机?

我在OU=AutoCreatedVMs,OU=Computer创build了一个Computer帐户。 我已经允许AD组Join-Move-Delete VMs创build/删除OU AutoCreatedVM中的计算机对象:

AutoCreatedVMs OU权限的屏幕截图

我有一个名为svc_jenkins的帐户,并成为AD Group Join-Move-Delete VMs

svc_jenkinslogin时,我无法从该OU中删除虚拟机:

 PS C:\> gci env:username Name Value ---- ----- USERNAME svc_jenkins PS C:\> Get-ADComputer test DistinguishedName : CN=test,OU=AutoCreatedVMs,OU=Computer,DC=duck,DC=loc DNSHostName : Enabled : True Name : test ObjectClass : computer ObjectGUID : 7dd3b09a-d079-467a-b69f-90a2e30c363d SamAccountName : TEST$ SID : S-1-5-21-1075642099-280362434-2919291742-3630 UserPrincipalName : PS C:\> Get-ADComputer test|Remove-ADComputer -Confirm:$False Remove-ADComputer : Access is denied At line:1 char:21 + Get-ADComputer test|Remove-ADComputer -Confirm:$False + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo : PermissionDenied: (CN=test,OU=Auto...,DC=duck,DC=loc:ADComputer) [Remove-ADComputer], Un authorizedAccessException + FullyQualifiedErrorId : ActiveDirectoryCmdlet:System.UnauthorizedAccessException,Microsoft.ActiveDirectory.Manag ement.Commands.RemoveADComputer 

任何想法我做错了什么? 域控制器是Windows Server 2012 R2。

更新我20分钟后再次尝试它,它的工作。 没有别的改变。

如果Powershell在将其添加到组中时已经作为服务帐户运行,则该组成员资格将不会应用于该会话。 你以后可能会打开一个新的Powershell会话吗?

您有多个域控制器?

我的猜测是,MMC连接到一个DC,而你(或PowerShell)试图在安全设置被复制之前移除另一个计算机对象。

当你20分钟后尝试,它被复制授予你的许可。