6
Active Directory Attribut unsichtbar machen
Hallo ,
Vorweginfo:
Windows Server 2003 Sp2 , Exchange 2003 Sp2
eine Frage an die Profis. Ich möchte gerne das AD - Feld MobileNumber unsichtbar machen. D.h. wenn ich z.B. im Outlook auf die Eigenschaften des Benutzer gehe, darf mir nicht die hinterlegte Handynummer angezeigt werden. (Hier geht es um den Datenschutz der Mitarbeiter).
Ich habe schon gesehen das mit ADSIEdit ,das ADSchema angepasst werden kann. D.h. für das Feld cn=Phone-Mobile-Primary kann das searchflag auf den Wert 128 gesetzt werden. Bin mir jetzt aber nicht ganz sicher ob das sich bei dem AD Feld um eines handelt das geändert werden kann, weil nach der Änderung auf den Wert 128 die Handynummer im Testsystem immer noch angezeigt wurde.
Gibt es da noch andere Möglichkeiten?
Danke für Eure antworten.
Gruß Carsten
Vorweginfo:
Windows Server 2003 Sp2 , Exchange 2003 Sp2
eine Frage an die Profis. Ich möchte gerne das AD - Feld MobileNumber unsichtbar machen. D.h. wenn ich z.B. im Outlook auf die Eigenschaften des Benutzer gehe, darf mir nicht die hinterlegte Handynummer angezeigt werden. (Hier geht es um den Datenschutz der Mitarbeiter).
Ich habe schon gesehen das mit ADSIEdit ,das ADSchema angepasst werden kann. D.h. für das Feld cn=Phone-Mobile-Primary kann das searchflag auf den Wert 128 gesetzt werden. Bin mir jetzt aber nicht ganz sicher ob das sich bei dem AD Feld um eines handelt das geändert werden kann, weil nach der Änderung auf den Wert 128 die Handynummer im Testsystem immer noch angezeigt wurde.
Gibt es da noch andere Möglichkeiten?
Danke für Eure antworten.
Gruß Carsten
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 179255
Url: https://administrator.de/contentid/179255
Printed on: April 23, 2024 at 23:04 o'clock
6 Comments
Latest comment
Hallo Carsten,
willst du es nur von bestimmten Nutzern nicht angezeigt bekommen, oder generell von alles AD Konten?
willst du es nur von bestimmten Nutzern nicht angezeigt bekommen, oder generell von alles AD Konten?
Hallo Oliver,
ich hätte es lieber, das ich über eine OU und Policy , für bestimmte Benutzer in dieser OU das Attribut
Mobile_number verstecke. Wenn es nicht anders geht , dann kann auch die Sichtbarkeit der Mobile_number für alle Benutzerkonten entfernt werden.
Gruß Carsten
ich hätte es lieber, das ich über eine OU und Policy , für bestimmte Benutzer in dieser OU das Attribut
Mobile_number verstecke. Wenn es nicht anders geht , dann kann auch die Sichtbarkeit der Mobile_number für alle Benutzerkonten entfernt werden.
Gruß Carsten
Hallo Carsten,
Ok. Du kannst eine Sicherheitsgruppe erstellen, in die du diese bestimmten Nutzer aufnimmst. Dann auf die OU mit deinen Nutzern die Eigenschaften aufrufst und unter Sicherheit die Gruppe hinzufügst. Über Erweitert -> "Gruppenname" Bearbeiten -> Registerkarte Erweitert -> Übernehmen für: Benutzer-Objekte -> Attribut Mobilfunknummer lesen auf verweigern setzen.
Damit verweigerst du der Gruppe das Attribut Mobilfunknummer zu lesen, somit ist es auch nicht mehr sichtbar, für die Mitglieder der Gruppe.
Dies kannst du ja auch in einer Test-OU mit Testbenutzern testen, ob dies deinen Anforderungen entspricht.
Ok. Du kannst eine Sicherheitsgruppe erstellen, in die du diese bestimmten Nutzer aufnimmst. Dann auf die OU mit deinen Nutzern die Eigenschaften aufrufst und unter Sicherheit die Gruppe hinzufügst. Über Erweitert -> "Gruppenname" Bearbeiten -> Registerkarte Erweitert -> Übernehmen für: Benutzer-Objekte -> Attribut Mobilfunknummer lesen auf verweigern setzen.
Damit verweigerst du der Gruppe das Attribut Mobilfunknummer zu lesen, somit ist es auch nicht mehr sichtbar, für die Mitglieder der Gruppe.
Dies kannst du ja auch in einer Test-OU mit Testbenutzern testen, ob dies deinen Anforderungen entspricht.
Hallo Oliver,
hat leider nicht funktioniert. Ich konnte die Schritte genauso nachvollziehen aber leider kann ein User egal welcher unter Eigenschaften im Outlook immer noch die Mobiltelefonnummer anderer Benutzer lesen.
Auf die OU Mitarbeiter (Sicherheit) die Domänen lokale Gruppe DLS_MobileNumber_nicht_lesen hinzugefügt.
Unter Erweitert, die DLS_MobileNumber_nicht_lesen bearbeitet. Unter Benutzerobjekte unter Eigenschaften das Attribut
"Mobilfunknummer" lesen -> verweigern gesetzt.
Auch noch danach alle mal gelöscht und /oder die Vererbung gesetzt.
Wird immer angezeigt..
Evtl. hast Du oder ja noch jemand andere noch ne Idee..
Danke schon mal im voraus..
hat leider nicht funktioniert. Ich konnte die Schritte genauso nachvollziehen aber leider kann ein User egal welcher unter Eigenschaften im Outlook immer noch die Mobiltelefonnummer anderer Benutzer lesen.
Auf die OU Mitarbeiter (Sicherheit) die Domänen lokale Gruppe DLS_MobileNumber_nicht_lesen hinzugefügt.
Unter Erweitert, die DLS_MobileNumber_nicht_lesen bearbeitet. Unter Benutzerobjekte unter Eigenschaften das Attribut
"Mobilfunknummer" lesen -> verweigern gesetzt.
Auch noch danach alle mal gelöscht und /oder die Vererbung gesetzt.
Wird immer angezeigt..
Evtl. hast Du oder ja noch jemand andere noch ne Idee..
Danke schon mal im voraus..
Hast du das mal nur mit einem Nutzer anstatt der Gruppe versucht? Eventuell ist es das falsche Attribut.
Interessant wäre auch, wenn du bei dem Nutzer der das Attribut nicht lesen soll, die AD Konsole startest und auf dem Nutzerobjekt wirkich die Mobilnummer nicht lesen kannst.
Eigentlich sollte das obige funktionieren.
Interessant wäre auch, wenn du bei dem Nutzer der das Attribut nicht lesen soll, die AD Konsole startest und auf dem Nutzerobjekt wirkich die Mobilnummer nicht lesen kannst.
Eigentlich sollte das obige funktionieren.
Hallo Oliver,
ja auf der Benutzerkontenebene funktioniert das.
Da kann ich dann der Gruppe die Telefon - und Postoptionen lesen verweigern und es besteht dann die Möglichkeit, in den Benutzerobjekten das Verweigern für das Lesen und Schreiben der Mobilfunknummern zu setzen.
Nur ist mir das ehrlich gesagt ,viel zu aufwendig , dass für alle Benutzerkonten einzeln zu machen.
Eine Ebene höher in der OU für die Benutzergruppe steht die Telefon -und Postoption verweigern für die Gruppe nicht zur Verfügung.
Muss dann da evtl. noch eine "Objektverwaltung zuweisen" vorgenommen werden?
Gruß Carsten
ja auf der Benutzerkontenebene funktioniert das.
Da kann ich dann der Gruppe die Telefon - und Postoptionen lesen verweigern und es besteht dann die Möglichkeit, in den Benutzerobjekten das Verweigern für das Lesen und Schreiben der Mobilfunknummern zu setzen.
Nur ist mir das ehrlich gesagt ,viel zu aufwendig , dass für alle Benutzerkonten einzeln zu machen.
Eine Ebene höher in der OU für die Benutzergruppe steht die Telefon -und Postoption verweigern für die Gruppe nicht zur Verfügung.
Muss dann da evtl. noch eine "Objektverwaltung zuweisen" vorgenommen werden?
Gruß Carsten
