Kontrolowanie widoczności obiektu

Usługi Active Directory Domain Services umożliwiają ukrywanie obiektów przed użytkownikami, którzy odmówiono pewnych praw. Jeśli obiekt jest ukryty, aplikacja, która jest uruchomiona z poświadczeniami użytkownika, nie będzie mogła wyliczyć ani powiązać z obiektem.

Jeśli użytkownik otrzymuje ADS_RIGHT_ACTRL_DS_LIST prawa kontroli dostępu w kontenerze, użytkownik może wyświetlić dowolne obiekty podrzędne kontenera. Podobnie, jeśli użytkownikowi zostanie odmówione ADS_RIGHT_ACTRL_DS_LIST prawa kontroli dostępu do kontenera, użytkownik nie może wyświetlić żadnego z obiektów podrzędnych kontenera. Dzięki temu zawartość całych kontenerów może być ukryta.

Serwer usługi Active Directory można również umieścić w trybie obiektu listy specjalnej, ustawiając trzeci znak właściwości dSHeuristics na "1". Tryb obiektu listy można wyłączyć, ustawiając trzeci znak właściwości dSHeuristics na "0". Gdy serwer usługi Active Directory znajduje się w trybie obiektu listy, obiekt będzie nadal widoczny, jeśli użytkownik otrzymał ADS_RIGHT_ACTRL_DS_LIST prawo do obiektu nadrzędnego. Jeśli jednak użytkownikowi odmówiono prawa ADS_RIGHT_ACTRL_DS_LIST do obiektu nadrzędnego, określone obiekty podrzędne mogą być nadal widoczne, jeśli użytkownikowi przyznano prawo ADS_RIGHT_DS_LIST_OBJECT zarówno do obiektów nadrzędnych, jak i podrzędnych. Tryb obiektu listy umożliwia administratorowi systemu udzielanie lub odmawianie dostępu do poszczególnych obiektów dla użytkowników lub grup. Tryb obiektu listy powinien być używany oszczędnie, ponieważ wymaga znacznie większej liczby wywołań sprawdzania dostępu, które mają być wykonywane przez usługę katalogową w celu określenia, czy obiekt jest widoczny dla użytkownika. W ten sposób może mieć negatywny wpływ na wydajność przeglądania lub odczytywania obiektów z usług Active Directory Domain Services.