Come consentire ai non amministratori di gestire l'appartenenza a gruppi di domini selezionati?

Sono su Windows Server 2012, Active Directory è attivo e funzionante. Tutto il progetto che gestiamo ha 2 gruppi dedicati, uno per i manager con accesso a tutti i file correlati (incluse fatture, orari e tutto ciò di cui hanno bisogno per gestire il progetto, o almeno immagino, potrebbe essere un mucchio di gif animate per tutto ciò che ho sapere) e uno per le persone che lavorano effettivamente sul progetto con accesso solo ai file del progetto stesso.

Devo consentire ad alcuni project manager di controllare l'appartenenza ai gruppi che consentono l'accesso ai file ai loro progetti. Non dovrebbero essere in grado di modificare altri aspetti del gruppo. E idealmente dovrebbe usare una GUI di qualche tipo, perché sarà abbastanza difficile spiegarlo in quel modo, ma nel peggiore dei casi posso scriverne uno.

Ho aggiunto il gruppo di gestione alla scheda "Gestito da" del gruppo gestito, con "Il gestore può aggiornare l'elenco di appartenenze" abilitato, e questo sembrava abbastanza facile. Ma..

1. Devo consentire al gruppo di gestione di visualizzare l'intero elenco utenti? Se é cosi, come?
2. Come e dove devono accedere i membri del gruppo di gestione per modificare l'appartenenza al gruppo?

È possibile specificare l'attributo managedBy e selezionare la casella "Manager può aggiornare l'elenco di appartenenze". (Ciò garantisce l'autorizzazione alla scrittura per l'attributo Member.)

Le persone che devono modificare il gruppo potrebbero essere in grado di farlo con il widget DSQuery, per il quale è possibile creare il seguente collegamento:

rundll32 dsquery,OpenQueryWindow

Possono cercare il gruppo come con Utenti e computer AD, quindi modificare le proprietà e Aggiungi membri.

Potrebbe essere possibile farlo con Outlook (se il gruppo è abilitato alla posta), ma può essere più fragile se si dispone di un ambiente con più domini.

In Windows 10, (oltre a Windows 8, credo), puoi aprire Esplora file, selezionare Rete dal riquadro di navigazione a sinistra, selezionare la scheda Rete che appare nella barra multifunzione nella parte superiore della finestra, quindi scegliere Cerca attiva Opzione di directory. Un utente dovrebbe quindi essere in grado di cercare un gruppo AD che dispone delle autorizzazioni per aggiornare e aggiungere / rimuovere membri.