本文介绍如何为Microsoft元目录服务 ADMA 服务帐户授予“复制目录更改”权限。
原始 KB 数： 303972
总结
使用 Active Directory 管理代理（ADMA）发现 Active Directory 中的对象时，为连接到 Active Directory 指定的帐户必须具有域管理权限、属于域管理员组，或显式授予复制此管理代理访问的林中每个域的目录更改权限。 本文介绍如何显式授予用户帐户对域的“复制目录更改”权限。
注意
在 Windows Server 2003 中，此权限的名称更改为“复制目录更改”。
详细信息
复制目录更改权限（称为 Windows Server 2003 中的“复制目录更改”权限）是每个域命名上下文上的访问控制项（ACE）。 可以使用 ACL 编辑器或 Windows 2000 中的 Adsiedit 支持工具分配此权限。
使用 ACL 编辑器设置权限
- 打开Active Directory 用户和计算机管理单元
- 在 “视图 ”菜单上，单击“ 高级功能”。
- 右键单击域对象，例如“”
company.com，然后单击“ 属性”。 - 在“安全”选项卡上，如果未列出所需的用户帐户，请单击“添加**”**;如果列出所需的用户帐户，请转到步骤 7。
- 在 “选择用户、计算机或组 ”对话框中，选择所需的用户帐户，然后单击“ 添加”。
- 单击“确定**”返回到“属性**”对话框。
- 单击所需的用户帐户。
- 单击以从列表中选择“ 复制目录更改 ”复选框。
- 单击“应用”，然后单击“确定”。
- 关闭管理单元。
使用 Adsiedit 设置权限
警告
错误地使用 Adsiedit 可能会导致严重问题，可能需要重新安装操作系统。 Microsoft无法保证可以解决因使用 Adsiedit 错误而导致的问题。 以自己的风险使用 Adsiedit。
- 安装 Windows 2000 支持工具（如果尚未安装）。
- 以域管理员身份运行 Adsiedit.msc。 展开域命名上下文（域 NC）节点。 此节点包含以“DC=”开头的对象，并反映正确的域名。 右键单击此对象，然后单击“ 属性”。
- 单击“安全”选项卡。
- 如果未列出所需的用户帐户，请单击“添加**”**，否则继续执行步骤 8。
- 在 “选择用户、计算机或组 ”对话框中，选择所需的用户帐户，然后单击“ 添加”。
- 单击“确定**”返回到“属性**”对话框。
- 单击“应用”，然后单击“确定”。
- 选择所需的用户帐户
- 单击以选中“ 复制目录更改 ”复选框。
- 单击“应用”，然后单击“确定”。
- 关闭管理单元。
注意
使用任一方法，设置林中每个域的“复制目录更改”权限即可发现 Active Directory 林中的域中的对象。 但是，启用已连接目录的发现并不意味着可以执行其他操作。
若要使用非管理帐户在 Active Directory 中创建、修改和删除对象，可能需要根据需要添加其他权限。 例如，对于Microsoft元目录服务（MMS）在组织单位（OU）或容器中创建新用户对象，必须使用的帐户显式授予“创建所有子对象”权限，因为复制目录更改权限不足以允许创建对象。
同样，删除对象需要“删除所有子对象”权限。
可能会对其他操作（如属性流）存在限制，具体取决于分配给有关对象的特定安全设置，以及继承是否是一个因素。