无法更新Active Directory架构的权限问题求助

针对你遇到的Update-LapsADSchema执行时报“权限不足”的问题，结合你已加入Schema Admins、Domain Admins、Enterprise Admins组的情况，给你几个排查和解决的方向：

1. 先确认权限是否真正生效 #

很多时候加入特权组后，当前会话不会立刻加载新的权限，需要你注销当前账号后重新登录，再尝试执行命令。这是最常见的“明明在组里却没权限”的原因，先排除这个情况。

2. 检查Schema Admins组的实际权限配置 #

虽然你是Schema Admins成员，但有可能组权限被意外修改：

• 先注册AD架构管理单元：在命令提示符执行regsvr32 schmmgmt.dll
• 打开MMC控制台，添加“Active Directory架构”管理单元
• 右键点击根节点“Active Directory架构”，选择「权限」
• 确认Schema Admins组拥有写入、创建所有子对象、删除所有子对象等核心权限，并且没有被“拒绝”类型的权限项覆盖（拒绝权限优先级高于允许）

3. 确保命令执行环境符合要求 #

• 必须在域控制器或者安装了AD RSAT工具的域内机器上执行该命令
• 右键PowerShell选择「以管理员身份运行」，避免UAC限制导致的权限缩水

4. 验证LAPS模块版本 #

旧版本的LAPS模块可能存在权限检查逻辑的问题，你可以先查看当前模块版本：

Get-Module -Name LAPS -ListAvailable

如果不是最新版，建议卸载旧版本后安装微软官方发布的最新版LAPS模块再尝试。

5. 检查是否有组策略或安全软件限制 #

有些环境会通过组策略限制Schema Admins的操作，或者安全软件（比如EDR）拦截了架构修改操作，你可以暂时关闭安全软件测试，或者检查域内是否有针对Schema Admins的限制策略。

备注：内容来源于stack exchange，提问作者surfer