Active directory 是否有方法允许标准用户访问远程服务器上的Active Directory？

我会尽力解释这一点，但如果理解不好，我会道歉

我们在服务器场上有一个远程SharePoint web服务器（Windows 2012 R2），我们将RDP添加到该服务器场中以添加用户、创建网站集等

我们的帮助台上有一两个用户，他们在服务器上的任务是创建/编辑用户或重置密码。我尝试将他们设置为标准用户，并将AD中的控制权委托给他们，使他们能够执行这些任务，但当他们登录并打开Active Directory用户和计算机时，系统会提示他们输入管理员用户/密码

有没有一种方法可以让他们访问广告，而不必将他们提升到管理员或域控制器，这是我不想做的

---

提前感谢。

我怀疑问题真的在于

mmc.exe

，因为ADUC（

dsa.msc

）实际上只是mmc的一个管理单元。您可以尝试的一件事是告诉Windows始终以其启动时的任何提升方式运行

mmc.exe

，而不是触发UAC。您可以通过将兼容性选项设置为

RunAsInvoker

来实现这一点

有几种方法可以做到这一点。要为整个计算机设置，可以在注册表中设置：

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
"C:\\Windows\\System32\\mmc.exe"="RunAsInvoker"

如果您只想将其应用于每个用户，可以将其更改为

HKEY\U CURRENT\U USER

另一种方法是创建一个快捷方式，该快捷方式在启动环境变量之前设置

\u COMPAT\u LAYER

，因此该设置仅适用于该快捷方式：

cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START dsa.msc"

---

谢谢你@Gabriel Luci帮了我很多忙！ CMD系列的运行就像一个冠军。 hier是用于运行其他Active Directory管理控制台的列表：

cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START ADSIedit.msc"
cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START DSA.msc"
cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START GPmc.msc"
cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START domain.msc"
cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START dnsmgmt.msc"
cmd.exe /c "SET __COMPAT_LAYER=RunAsInvoker & START dsite.msc"

• ADSIedit.msc=ADSIedit
• DSA.msc=“Active Directory用户和 计算机（ADUC）
• GPmc.msc=“集团策略管理”
• domain.msc=“Active Directory域和信任”
• dnsmgmt.msc=“DNS管理”
• dsite.msc=“Active Directory站点和服务”

---

我使用了第二种选择，效果不错。谢谢@Gabriel