AD帳號具有WriteAccountRestrictions權限,可否刪除?

您好,

感謝您在 Microsoft Windows 論壇發文提問！

關於您提出的「擁有 WriteAccountRestrictions 權限的 AD 帳戶是否可以刪除」的問題，答案是肯定的。擁有 WriteAccountRestrictions 權限的 Active Directory 帳號可以被刪除，但是否應該刪除完全取決於該帳號的類型及其用途。

WriteAccountRestrictions 是一項敏感的擴充權限，它允許物件（例如電腦帳戶、使用者或服務主體）修改目標物件上的特定帳戶限制屬性，最值得注意的是 msDS-AllowedToActOnBehalfOfOtherIdentity（啟用受限委派）或使用者帳戶限制。

在決定刪除或修改帳戶之前，請仔細考慮以下幾點技術影響。

• 如果該帳戶是電腦帳戶、主機服務帳戶 (MSA) 或用於叢集、Web 服務（例如 IIS 或 Exchange）或應用程式閘道的群組託管服務帳戶 (gMSA)，則刪除該帳戶將導致依賴該帳戶的服務中斷。另一方面，如果該帳戶是不再使用的舊版使用者帳戶或服務帳戶，則刪除該帳戶是減少攻擊面的標準安全清理步驟。
• 具有 WriteAccountRestrictions 權限的帳戶通常會被明確地授予配置基於資源的約束委派 (RBCD) 的權限。如果您刪除管理其他關鍵叢集節點或應用程式服務委派的帳戶，則這些依賴服務可能無法正確驗證使用者身分。
• 如果關注的是安全性而非刪除過時的對象，則不一定需要刪除該帳戶。您可以改用 Active Directory 使用者和電腦 (ADUC) 或 PowerShell (Set-Acl) 來移除明確權限，同時保持帳戶完整。

希望以上資訊對您有幫助！如果這有助於您更深入地了解問題，請點擊「接受答案」。