Nous aimerions verrouiller quelques comptes pour empêcher même les administrateurs de domaine de réinitialiser le mot de passe sans connaître le mot de passe actuel. D'après ce que je peux voir dans les ensembles d'autorisations, cela semble possible. Tout ce que j'ai trouvé sur le sujet recommande de ne pas modifier les permissions par défaut, mais n'explique pas en détail pourquoi.
En supposant que l'administrateur du domaine conserve la capacité de réinitialiser les mots de passe sans connaître les mots de passe actuels, est-il raisonnable d'empêcher la réinitialisation des mots de passe sur le compte de l'administrateur du domaine et peut-être quelques autres ? Si non, pourquoi ?
