权限是“最小特权”管理的初始构建块。为用户指派权限可帮助您实施和维护动态安全模型。您可以在 Delegation and Configuration（委托和配置）控制台中执行这些过程。
有超过 390 种内置权限用于管理对象和执行常见的管理任务，您可以在定义角色和进行委托指派时使用这些权限。无法删除内置权限，但可以克隆它们以创建自定义权限。下面列出了一些内置权限的示例：
提供创建组和在创建组期间指定所有属性的权限。
如果启用了回收站，则提供将用户帐户移动到回收站的权限。如果禁用了回收站，则提供永久删除用户帐户的权限。
提供修改计算机帐户所有属性的权限。
要创建自定义权限，您可以创建新权限或克隆现有权限。您可以使用现有权限作为新权限委托的模板。权限定义了助理管理员可以在受管域或子树中查看、修改或创建的对象的属性。自定义权限可以包括对多个属性的访问权限，例如 View All User Properties（查看所有用户属性）权限。
注：无法克隆所有内置权限。
您可以从 Delegation and Configuration（委托和配置）控制台中的 Delegation Management（委托管理）> Powers（权限）节点实施自定义权限。在此节点中，您可以执行以下操作：
查看所有权限属性
创建新权限
克隆现有权限
修改自定义权限
生成权限更改报告
要执行上述操作，您必须具有相应的权限，例如 Manage Security Model（管理安全模型）角色中所包含的权限。
在尝试创建新权限之前，请考虑以下过程。
查看 DRA 提供的权限。
决定是否需要自定义权限。如果适用，您可以克隆现有的自定义权限。
完成相应的向导驱动过程。例如，完成 New Power（新建权限）向导。
查看您的新权限。
如有必要，修改您的新权限。
执行本节中列出的任何操作的常规工作流程是选择权限节点，然后执行任意下列操作：
使用“任务”或右键单击菜单打开适用的向导或对话框以执行必要的操作。
在 List items that match my criteria（列出与我的准则匹配的项目）窗格中找到权限对象，然后使用任务或右键单击菜单选择并打开适用的向导或对话框以执行必要的操作。
您可以通过扩展权限向该权限添加许可权限或功能。
例如，要允许助理 Admin 创建用户帐户，您可以指派 Create User and Modify All Properties（创建用户和修改所有属性）权限或 Create User and Modify Limited Properties（创建用户和修改有限属性）权限。如果您还指派 Add New User to Group（将新用户添加到组）权限，则助理 Admin 可以在使用 Create User（创建用户）向导时将此新用户帐户添加到组中。在这种情况下，Add New User to Group（将新用户添加到组）权限将提供其他向导功能。Add New User to Group（将新用户添加到组）权限是扩展权限。
扩展权限无法自行添加许可权限或功能。要成功委托包含扩展权限的任务，您必须指派扩展权限以及要扩展的权限。
注：
要成功创建组并在·ActiveView·中包含新组，您必须在指定的·ActiveView·中拥有 Add New Group to ActiveView（将新组添加到 ActiveView）权限。指定的 ActiveView 还必须包括将包含新组的 OU 或内置容器。
要成功克隆组并在·ActiveView·中包含新组，您必须在指定的·ActiveView·中拥有将克隆组添加到·ActiveView 权限。指定的 ActiveView 还必须包括源组以及将包含新组的 OU 或内置容器。
下表列出了在创建新权限或修改现有权限属性时可配置的一些操作示例：
|
委托此任务 |
指派此权限 |
和此扩展权限 |
|---|---|---|
|
克隆组并在指定的 ActiveView 中包含新组 |
克隆组和修改所有属性 |
将克隆组添加到 ActiveView |
|
创建组并在指定的 ActiveView 中包含新组 |
创建组和修改所有属性 |
将新组添加到 ActiveView |
|
创建已启用邮件的联系人 |
创建联系人和修改所有属性 创建联系人和修改有限属性 |
为新联系人启用电子邮件 |
|
创建已启用邮件的组 |
创建组和修改所有属性 |
为新组启用电子邮件 |
|
创建已启用邮件的用户帐户 |
创建用户和修改所有属性 创建用户和修改有限属性 |
为新用户启用电子邮件 |
|
创建用户帐户并将新帐户添加到特定组 |
创建用户和修改所有属性 创建用户和修改有限属性 |
将新用户添加到组 |