Предоставить всем пользователям возможность редактировать свои собственные определенные атрибуты в Active Directory

Question

Я работал над проектом, который позволяет пользователям в нашем домене редактировать 3 атрибута Active Directory для своих собственных объектов. Это было написано на Python, и единственная проблема, с которой я столкнулся, - это разрешения пользователей на эти атрибуты.

Два из них являются пользовательскими, третий - это Location (PhysicalOfficeDeliveryAddress). Я искал везде и только нашел документацию о том, как дать разрешение для пользователей в группе для этих атрибутов, но для ВСЕХ пользователей или ограничено группой.

Я ищу, чтобы применить разрешение в соответствии с Identity Reference: NTAUTHORITY \ SELF, чтобы пользователи могли редактировать только свои собственные атрибуты.

Короче говоря, я хочу написать скрипт, который будет делегировать разрешения для трех конкретных атрибутов ВСЕМ пользователям в домене, но только для себя (NT AUTH \ SELF).

У меня есть цикл, который будет выполнять его для каждого пользователя, я просто ударил кирпичную стену в том, что включить в цикл ..

Любая помощь будетоценены.

Answer 1

NT AUTHORITY\SELF - это один из известных идентификаторов безопасности Windows с идентификатором S-1-5-10.

Таким образом, вы делаете это так же, как и для любой другой учетной записи,но вместо этого предоставьте разрешения для S-1-5-10.

Если вы покажете нам код, с которым работаете, мы, возможно, сможем вам подсказать, куда вставить это значение.