セキュリティグループのLDAPクエリを制限する

Question

さまざまなシステムでLDAPクエリを実行するために使用されるドメインアカウントがいくつかあります。これらのアカウントが私たちの広告のすべてのOUを照会できるようにはしません。

• @ドメインレベル認証されたユーザーすべてのOUへの読み取りアクセス権。
• これらのアカウントが所属するセキュリティグループが作成されました。
• 許可されたセキュリティグループユーザーが照会できる3つのOUへの読み取りアクセス権。
• ユーザーが含まれている他のすべてのOUに対してフルコントロールの権限を拒否しました。

アカウントを使用しているシステムの1つは、当社のコピー機です。ディレクトリのグローバル検索では、依然として構成済みのOU内に存在するユーザーが引き上げられています。

これがどう起こっているのかわかりません。

思考？

Answer 1

これは、オブジェクトがしているだけでOUを上拒否持って十分ではないの許可はのために拒否する必要があります。すべてのプロパティ

読む権限

読む

• リストの内容

これは、該当するOUの「このオブジェクトとすべての子孫オブジェクト」に適用する必要があります。