powershell - 在Active Directory中创建的计算机对象上设置 'Following user or group can join to domain'权限

Question

我有一个VMWare View环境，通常我们不得不偶尔通过大量计算机来扩展池。

为了使我们的环境将池中的链接克隆计算机添加到域中，我们必须在Active Directory中预先创建计算机对象，并将“跟随用户或组可以加入域的权限”临时设置为某个组。当您一次手动执行此操作时，可以使用GUI /向导设置该权限。

我正在尝试通过PowerShell脚本将计算机添加到Active Directory来自动执行此操作。我正在使用脚本并添加了计算机对象，但是在创建计算机对象或创建后修改权限时，我找不到一种明显的方式来设置这些权限。

我将如何使用PowerShell设置那些权限？

Answer 1

两个链接:

previous time this was asked here

scripting guys forums

如果要同时限制域加入者但允许特定的人加入特定的计算机，则必须设置四个权限(请参阅第二个链接)。

另一个选择是拥有一个View服务帐户，该帐户位于GPO受限的Domain Joiners组中。然后，您可以限制域用户帐户加入该域，而只需拥有服务帐户和您的支持技术人员的权利。并且该服务帐户将使用Add-Computer自动添加它制作的每个VM。