OU权限委派需坚持“结构可控、权限收敛、操作可溯”：按部门设独立OU、禁用嵌套；仅委派预定义最小权限，杜绝“完全控制”；执行须满足账号、工具、验证三条件；每半年审计并清理冗余委派。
组织单位（ou）权限委派的精确控制与审计，关键在于“结构可控、权限收敛、操作可溯”。不是在域级别粗放授权，而是在ou层级做最小粒度切分，只给刚好够用的权限，并确保每次操作留痕可查。
OU结构设计：划清责任田是前提
每个部门或职能线对应一个独立OU，例如OU=财务部,DC=corp,DC=local。所有该部门的用户、组、计算机必须全部纳入其中。委派操作必须在该OU节点上右键执行，禁止在域名或站点级直接委派。扁平化结构更利于管理——避免出现“销售部→华北区→北京办→2026实习生”这类四级嵌套。跨部门共用资源（如共享打印机、文件服务器）应单独建OU或通过安全组控制访问，不混入业务OU。
权限分配：只选预定义任务，禁用宽泛权限
使用“委派控制向导”时，严格勾选系统内置的预定义任务，例如：
- “重置用户密码并强制下次登录更改”——允许改密，但不能禁用/删除账户
- “管理组成员身份”——可增删组内用户，但不能修改组本身属性
- “创建、删除计算机对象”——仅限本OU内加域/退域，不影响其他OU
绝对不勾选“完全控制”或“管理此对象及子对象的所有属性”。这类权限会绕过OU边界，导致横向越权风险。
执行保障：工具+身份+验证缺一不可
被委派者必须满足三项条件才能实际操作：
windows-shell
下载
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
- 在域内使用具备相应权限的账号登录（不能用本地管理员）
- 安装RSAT（远程服务器管理工具），特别是ADSI编辑器和ADUC增强功能
- 首次操作前，在测试OU中用非生产账号完成全流程验证（如重置密码、加入新计算机）
未满足任一条件，委派即形同虚设。
审计落地：半年一次权限条目核对是硬要求
委派不是一劳永逸。每六个月必须执行一次权限审计：
- 导出当前OU下所有委派条目（可通过PowerShell命令Get-ADOrganizationalUnit配合Get-Acl提取）
- 比对是否仍符合“谁管谁、管什么、为什么管”的原始依据
- 清理已离职人员、转岗人员、临时权限等冗余条目
- 记录审计过程与结果，归档至少两年
没有定期审计的委派，等于没有边界的安全承诺。
