直接在目标OU上用“委派控制向导”分配重置密码权限即可，但需额外勾选“Write lockoutTime”才能解锁账户，且必须确保OU及用户对象启用权限继承，否则委派不生效。
直接在目标ou上用“委派控制向导”分配重置密码权限即可，但要注意它不等于解锁账户，也不自动覆盖子ou或对象——关键在继承设置和权限位是否精准。
选对OU并确保对象已就位
先确认要管理的用户都在该OU下。AD中委派只对OU内对象生效，不在里面的用户不会受控。新建OU时建议按部门或职能命名，比如OU=IT-Support,DC=contoso,DC=com；已有用户可用Move-ADObject批量移入，或右键ADUC中对象→“移动…”手动操作。
用向导分配重置密码权限
在ADUC中右键目标OU → “委派控制…” → 按向导步骤操作：
- 添加需授权的运维账号或安全组（如IT-Ops-Team）
- 选择任务：勾选“重设用户密码并强制在下次登录时更改密码”
- 若还需支持解锁账户，必须额外进入“创建自定义任务” → 勾选“仅以下对象” → 选中User对象 → 在权限列表中单独启用Write lockoutTime
检查继承与实际生效范围
委派后权限默认继承到OU内所有用户对象，但以下情况会中断：
- 目标OU或其子OU禁用了“从父对象继承权限”（需进OU属性→Security→Advanced→确认“Inherit from parent”已启用）
- 用户对象本身被手动取消继承（右键用户→属性→Security→Advanced→检查“Include inheritable permissions”是否勾选）
- 运维账号对父容器缺乏Write权限，导致ACL写入失败（可用
dsacls "OU=IT-Support,DC=contoso,DC=com"验证读取是否成功）
验证与常见避坑点
用运维账号登录后实测：
- 运行
Get-ADUser -Identity testuser -Properties LockedOut | Select LockedOut看能否读取锁定状态 - 执行
Set-ADAccountPassword -Identity testuser -Reset -NewPassword (ConvertTo-SecureString "P@ss123!" -AsPlainText -Force)测试重置 - 再运行
Unlock-ADAccount -Identity testuser确认解锁能力（若失败，大概率是漏配Write lockoutTime） - 启用了智能卡登录的用户，还需额外委派Write pkcs12权限，否则重置后无法生成新证书密钥
