Zugriffssteuerung und Objektlöschung

Mit Active Directory Domain Services können Sie ein Objekt löschen, wenn Sie über eine der folgenden Zugriffsrechte verfügen:

• DELETE-Zugriff auf das Objekt selbst
• ADS_RIGHT_DS_DELETE_CHILD Zugriff auf diesen Objekttyp im übergeordneten Container

Beachten Sie, dass das System die Sicherheitsbeschreibung sowohl für das Objekt als auch für das übergeordnete Objekt überprüft, bevor der Löschvorgang verweigert wird. Dies bedeutet, dass eine ACE, die DEN DELETE-Zugriff auf einen Benutzer explizit verweigert, keine Auswirkung hat, wenn der Benutzer über DELETE_CHILD Zugriff auf das übergeordnete Element verfügt. Ebenso kann eine ACE, die DELETE_CHILD Zugriff auf das übergeordnete Element verweigert, überschrieben werden, wenn DER DELETE-Zugriff für das Objekt selbst zulässig ist.

Zum Ausführen eines Strukturlöschvorgangs, z. B. mithilfe der IADsDeleteOps::D eleteObject-Methode, müssen Sie über ADS_RIGHT_DS_DELETE_TREE Zugriff auf das Objekt verfügen. Wenn Sie über dieses Zugriffsrecht verfügen, können Sie das Objekt und alle untergeordneten Objekte unabhängig von den Schutzmechanismen für die untergeordneten Objekte löschen. Um eine Struktur zu löschen, wenn Sie nicht über ADS_RIGHT_DS_DELETE_TREE Zugriff verfügen, müssen Sie die Struktur rekursiv durchlaufen und jedes Objekt einzeln löschen. In diesem Fall müssen Sie über den erforderlichen DELETE- oder DELETE_CHILD Zugriff für jedes Objekt in der Struktur verfügen.