Active Directory 寫入權限允許編輯使用者資訊，但不能編輯管理員使用者資訊

在我們的 Active Directory (2008 R2) 中，我使用委派向一組非管理員使用者授予編輯使用者資訊屬性（例如電話號碼、職務、郵政地址等）的權限。

該組的成員現在可以編輯大多數使用者資訊，但他們不能編輯管理員的資訊。但為什麼？我沒有找到任何可能導致這種情況的“拒絕”條款。

可能是 SDAdminHolder 功能。它阻止作為受保護組成員的帳戶的權限繼承。您可以通過檢查帳戶的權限以及帳戶父容器的權限來確認這一點。

引用自：https://serverfault.com/questions/548670