域安全与森林安全

Question

域"A“的管理员可以在同一林子”开箱即用“内的另一个域"B”中重置用户密码，这是真的吗？

我认为域管理员不可能像这样管理森林中的另一个域。除非他使用一些不标准的恶意的实用工具和黑客。

有人能证实这一点吗？

Answer 1

不，域管理员无权管理forrest中的其他域。

这不是“开箱即用”的行为，至少对于“域管理员”组不是这样。

如果您的根域为ad.mycompany.com，而子域为child.ad.mycompany.com，则来自任一域中的域管理员不应能够管理其他域。但是，企业管理员组成员将能够管理子域。

但是，如果您的角色分离程度很低(例如，企业管理员与域管理员是同一个人)，那么设置此行为并不一定被视为恶意行为。此外，不需要使用“非标准实用程序和黑客”，因为您只需将父域的域管理组添加到Enterprise组即可。

子域中的域管理员组成员仍然没有管理父域的权限。