AD委派管理核心是按OU划分责任边界、按角色分配最小权限、按工具保障操作可行：OU为最小委派单元，须在OU层级右键委派；仅勾选预定义任务（如“重置密码并强制改密”），禁用“完全控制”；被委派者需安装RSAT工具并在域内登录验证，半年审计权限条目。

ad环境下的委派管理，核心是“按ou划分责任边界、按角色分配最小权限、按工具保障操作可行”。不是把管理员账号分发出去，而是让销售部经理只能重置销售部用户密码，行政部主管只能管理行政部的计算机对象——权限不越界、操作不越级、风险可追溯。

明确委派范围：从OU开始划清责任田

组织单位（OU）是委派的最小有效单元。每个部门对应一个独立OU（如OU=销售部,DC=company,DC=com），所有该部门的用户、组、计算机都放在其中。委派必须在OU层级右键执行，不能直接对域或站点做泛化授权。这样既避免权限扩散，也便于后续策略（如GPO）统一应用。

• OU结构建议扁平清晰，避免嵌套过深（如不要出现“销售部→华东区→上海组→2024新员工”这种四级结构）
• 跨部门共用资源（如打印机、共享文件夹）应单独建OU或使用安全组控制访问，不混入业务部门OU
• 测试账号、服务账号、临时外包账号建议统一放入OU=临时账户，不纳入任何部门OU委派体系

选择具体任务：只给“刚好够用”的操作权

使用“委派控制向导”时，务必勾选预定义任务，而非手动设置ACE（访问控制项）。系统内置任务已做过权限收敛，例如：

• “重置用户密码并强制下次登录更改” → 允许改密，但禁止禁用/启用/删除账户
• “管理组成员身份” → 可增删组内用户，但不能改组属性或删除组本身
• “创建、删除计算机对象” → 仅限该OU内加域/退域操作，不影响其他OU或域控制器

切忌选择“完全控制”或“管理此对象及子对象的所有属性”——这类宽泛权限极易引发误操作或横向越权。

部署可用工具：让被委派人真能干活

委派完成≠立即可用。部门IT人员通常不登录域控，需在本地Windows工作站安装AD管理工具：

• Windows 10/11：启用“远程服务器管理工具（RSAT）”，通过“设置→应用→可选功能→添加功能”搜索并安装“AD DS 和 AD LDS 工具”
• Windows 7 SP1：需先安装KB958830补丁，再通过“控制面板→程序→打开或关闭Windows功能”启用“AD管理工具”
• 所有客户端必须加入域，且被委派账户需有本地管理员权限（用于运行MMC控制台）

安装后，在“开始菜单→Windows管理工具”中打开“Active Directory 用户和计算机”，连接到本域即可操作所委派的OU。

验证与回收：权限不是一次配置就一劳永逸

委派后务必现场验证：用被委派账户登录，尝试执行授权操作（如重置同OU下某用户密码），再尝试越权操作（如禁用该用户），确认提示“拒绝访问”。半年内至少执行一次权限审计：

• 在ADUC中开启“高级功能”（查看→高级功能）
• 右键对应OU→属性→安全选项卡→高级→检查“权限条目”中是否存在已离职人员或过期账户
• 发现冗余权限，直接选中条目点击“删除”即可移除，无需重新走向导流程