Dans certaines organisations, il arrive que le besoin de déléguer certaines opérations à des personnes ne faisant pas partie de l’IT ou de séparer les rôles de l’IT se présente. En général il s’agit de déléguer une opération spécifique de l’administration d’un environnement, comme :

-          réinitialiser un mot de passe, par exemple pour les chefs de service

-          ajouter des postes à un domaine, pour l’équipe qui gère le déploiement des postes.

Il est possible au niveau Active Directory de déléguer certaines opérations sans être obligé de mettre des droits étendus.

Dans le premier exemple nous allons déléguer le droit de modifier les mots de passe utilisateurs à « ydurand » depuis la console « Utilisateurs et Ordinateurs Active Directory » :

 

 

 

Dans ce 2^ème exemple nous allons voir comment déléguer le droit de joindre un poste au domaine.

 

 

 

 

 

Nous allons voir ce que l’assistant « délégation de contrôle» a modifié. Pour cela nous allons dans les propriétés d’affichage sélectionné l’option « Fonctionnalités avancées ».

Une fois les fonctionnalités avancées activées, nous disposons d’un accès à l’onglet sécurité. Nous retrouvons l’utilisateur « pdupont » auquel nous avons attribué le droit d’ajouter un poste dans le domaine.

En regardant les détails nous constatons que l’utilisateur dispose de l’autorisation « créer des objets ordinateur » :

 

 

Dans un environnement de production il est recommandé de créer des délégations de droit sur des groupes plutôt que sur les utilisateurs. Ceci permet de simplifier la gestion, lorsque des personnes changent de poste.