ActiveDirectoryでの管理者権限の委任

PowerShellを使用してActiveDirectoryのアクセス許可を委任する方法

OUに委任されているアクセス許可のリストを取得したり、PowerShellを使用して現在のアクセス許可を変更したりできます。 Get-ACL およびSet-ACL コマンドレットは、Active Directoryのアクセス許可を表示および変更するために使用されます（ファイルとフォルダーのNTFSアクセス許可を管理するために同じPowerShellコマンドレットが使用されます）。

次の簡単なスクリプトは、ADの特定の組織単位に委任されているすべての非標準のアクセス許可を一覧表示します。

# get the OU
$OUs = Get-ADOrganizationalUnit -Filter 'DistinguishedName -eq "OU=Users,OU=Paris,DC=woshub,DC=com"'| Select-Object -ExpandProperty DistinguishedName
$schemaIDGUID = @{}
$ErrorActionPreference = 'SilentlyContinue'
Get-ADObject -SearchBase (Get-ADRootDSE).schemaNamingContext -LDAPFilter '(schemaIDGUID=*)' -Properties name, schemaIDGUID |
ForEach-Object {$schemaIDGUID.add([System.GUID]$_.schemaIDGUID,$_.name)}
Get-ADObject -SearchBase "CN=Extended-Rights,$((Get-ADRootDSE).configurationNamingContext)" -LDAPFilter '(objectClass=controlAccessRight)' -Properties name, rightsGUID |
ForEach-Object {$schemaIDGUID.add([System.GUID]$_.rightsGUID,$_.name)}
$ErrorActionPreference = 'Continue'
ForEach ($OU in $OUs) {
$report += Get-Acl -Path "AD:\$OU" |
Select-Object -ExpandProperty Access |
Select-Object @{name='organizationalUnit';expression={$OU}}, `
@{name='objectTypeName';expression={if ($_.objectType.ToString() -eq '00000000-0000-0000-0000-000000000000') {'All'} Else {$schemaIDGUID.Item($_.objectType)}}}, `
@{name='inheritedObjectTypeName';expression={$schemaIDGUID.Item($_.inheritedObjectType)}}, `
*
}
# report with assigned OU permissions

委任された権限レポートは、グラフィカルなOut-GridViewコマンドレットを使用して取得できます。

$report| where {($_.IdentityReference -notlike "*BUILTIN*") -and ($_.IdentityReference -notlike "*NT AUTHORITY*") }| Out-GridView

または、アクセス許可のリストをCSVファイルにエクスポートして、Excelでさらに分析します（PowerShellスクリプトからExcelファイルにデータを直接書き込むことができます）。
$report | Export-Csv -Path "C:\reports\AD_OU_Permissions.csv" –NoTypeInformation

結果のレポートは、ヘルプデスクグループにOU内のユーザーパスワード（ObjectTypeName =User-Force-Change-Password）をリセットする権限が委任されていることを示しています。

dsaclsを使用できます OUに権限を委任するためのツール。例：

dsacls "ou=users,ou=paris,dc=woshub,dc=com" /I:S /G "WOSHUB\HELPDESK:CA;Reset Password;user" "WOSHUB\HELPDESK:WP;pwdLastSet;user" "WOSHUB\HELPDESK:WP;lockoutTime;user

PowerShellを使用して組織単位コンテナーにアクセス許可を割り当てることもできます（この例では、パスワードをリセットするためのアクセス許可が委任されます）：

$ou = "AD:\OU=users,OU=Paris,DC=woshub,DC=com"
$group = Get-ADGroup helpdesk
$sid = new-object System.Security.Principal.SecurityIdentifier $group.SID
$ResetPassword = [GUID]"00299570-246d-11d0-a768-00aa006e0529"
$UserObjectType = "bf967aba-0de6-11d0-a285-00aa003049e2"
$ACL = get-acl $OU
$RuleResetPassword = New-Object System.DirectoryServices.ActiveDirectoryAccessRule ($sid, "ExtendedRight", "Allow", $ResetPassword, "Descendents", $UserObjectType)
$ACL.AddAccessRule($RuleResetPassword)
Set-Acl -Path $OU -AclObject $ACL

同様に、PowerShellを使用してAD組織コンテナーに他のアクセス許可を委任できます。