Déléguer les droits Account Options

password at
next logon et User cannot
change password. Un seul attribut
bitmask appelé User
Account Control contrôle les 8
options restantes. Bien qu’un
bitmask soit un moyen efficace
pour stocker de nombreux éléments
dans un petit espace, ce
qui optimise la réplication et le
stockage, il présente un problème
de délégation. Les attributs
d’objet sont les atomes de
la délégation d’AD ; la granularité
de la délégation ne peut pas
aller au-delà  de l’attribut. par
conséquent, les huit propriétés
sous l’attribut User Account
Control sont traitées sur le principe
du tout ou rien. Si vous accordez
aux membres de
l’équipe du help desk le droit
User Account Control, ils peuvent
non seulement activer le
compte d’un utilisateur mais
aussi définir son mot de passe
de manière à  ce qu’il n’expire jamais.
Les administrateurs répugnent,
à  juste titre, à  laisser les
membres de l’équipe du help desk dispenser
les comptes utilisateur de changements
de mots de passe périodiques
parce que des mots de passe n’expirant
jamais sont dangereux.

De nombreux administrateurs supposent,
à  tort, que le droit User
Account Control couvre aussi les deux
premières options de la liste Account
Options. La première option – User
must change password at next logon –
est un droit que de nombreux administrateurs
délèguent aux membres de
l’équipe du help desk, généralement
conjointement au droit de déverrouiller
les comptes et de changer les mots de passe. Munis de ces droits, les
membres du help desk peuvent aider
des utilisateurs à  réaccéder à  leurs
comptes après qu’ils s’en soient euxmêmes
évincés à  cause d’un changement
de mot de passe malencontreux.
En obligeant les utilisateurs à  changer
leurs mots de passe au prochain logon,
on est certain que les membres de
l’équipe du help desk ne connaîtront
plus les mots de passe des utilisateurs.