Account operator no puede desbloquear helpdesk users

Buenos días, los molesto por una consulta que desde hace varios días me
viene rompiendo la cabeza.
Tenemos definido Role Base access control en el cliente donde estoy
trabajando, entre esos roles, algunos grupos "privilegiados" pertenecen a
grupos BUILTIN debido a su funcion.
El problema surge ahora que necesitamos delegarle al nuevo administrador
de seguridad la posibilidad de manejar cuentas de usuario.
El anterior lo hacia porque era Domain Admin, pero a este nuevo todavía no
le quieren dar tanto "poder", por lo cual resolvimos ponerlo como Account
Operator.
El problema es que con este privilegio no puede desbloquear usuarios
pertenecientes Mesa_de_ayuda. (que son miembros del grupo HelpDesk y Print
Operators del dominio)
Se les ocurre porque puede ser?
Como dato adicional, al grupo Mesa_de_ayuda en su momento le habíamos
asignado la posibilidad de desbloquear usuarios sin asignarlos al account
operators como sugiere uno de los boletines de Microsoft.

Alguna idea?
Desde ya muchas gracias.
Pablo

Buenos días, los molesto por una consulta que desde hace varios días me
viene rompiendo la cabeza.
Tenemos definido Role Base access control en el cliente donde estoy
trabajando, entre esos roles, algunos grupos "privilegiados" pertenecen a
grupos BUILTIN debido a su funcion.
El problema surge ahora que necesitamos delegarle al nuevo administrador
de seguridad la posibilidad de manejar cuentas de usuario.
El anterior lo hacia porque era Domain Admin, pero a este nuevo todavía no
le quieren dar tanto "poder", por lo cual resolvimos ponerlo como Account
Operator.
El problema es que con este privilegio no puede desbloquear usuarios
pertenecientes Mesa_de_ayuda. (que son miembros del grupo HelpDesk y Print
Operators del dominio)
Se les ocurre porque puede ser?
Como dato adicional, al grupo Mesa_de_ayuda en su momento le habíamos
asignado la posibilidad de desbloquear usuarios sin asignarlos al account
operators como sugiere uno de los boletines de Microsoft.

Alguna idea?
Desde ya muchas gracias.
Pablo

Design Considerations for Delegation of Administration in Active Directory
http://www.microsoft.com/technet/pr...eladm.mspx

Salu2!!
Javier Inglés
https://mvp.support.microsoft.com/p...B5567431B0
MS MVP, Windows Server-Directory Services




"Pablo" escribió en el mensaje
news:%23X%

Buenos días, los molesto por una consulta que desde hace varios días me
viene rompiendo la cabeza.
Tenemos definido Role Base access control en el cliente donde estoy
trabajando, entre esos roles, algunos grupos "privilegiados" pertenecen a
grupos BUILTIN debido a su funcion.
El problema surge ahora que necesitamos delegarle al nuevo administrador
de seguridad la posibilidad de manejar cuentas de usuario.
El anterior lo hacia porque era Domain Admin, pero a este nuevo todavía
no le quieren dar tanto "poder", por lo cual resolvimos ponerlo como
Account Operator.
El problema es que con este privilegio no puede desbloquear usuarios
pertenecientes Mesa_de_ayuda. (que son miembros del grupo HelpDesk y
Print Operators del dominio)
Se les ocurre porque puede ser?
Como dato adicional, al grupo Mesa_de_ayuda en su momento le habíamos
asignado la posibilidad de desbloquear usuarios sin asignarlos al account
operators como sugiere uno de los boletines de Microsoft.

Alguna idea?
Desde ya muchas gracias.
Pablo

Design Considerations for Delegation of Administration in Active Directory
http://www.microsoft.com/technet/pr...eladm.mspx

Salu2!!
Javier Inglés
https://mvp.support.microsoft.com/p...B5567431B0
MS MVP, Windows Server-Directory Services




"Pablo" escribió en el mensaje
news:%23X%

Buenos días, los molesto por una consulta que desde hace varios días me
viene rompiendo la cabeza.
Tenemos definido Role Base access control en el cliente donde estoy
trabajando, entre esos roles, algunos grupos "privilegiados" pertenecen a
grupos BUILTIN debido a su funcion.
El problema surge ahora que necesitamos delegarle al nuevo administrador
de seguridad la posibilidad de manejar cuentas de usuario.
El anterior lo hacia porque era Domain Admin, pero a este nuevo todavía
no le quieren dar tanto "poder", por lo cual resolvimos ponerlo como
Account Operator.
El problema es que con este privilegio no puede desbloquear usuarios
pertenecientes Mesa_de_ayuda. (que son miembros del grupo HelpDesk y
Print Operators del dominio)
Se les ocurre porque puede ser?
Como dato adicional, al grupo Mesa_de_ayuda en su momento le habíamos
asignado la posibilidad de desbloquear usuarios sin asignarlos al account
operators como sugiere uno de los boletines de Microsoft.

Alguna idea?
Desde ya muchas gracias.
Pablo