Ldifde und UserAccountControl Fehler

[heinzelrumpel 10]

Hallo,

 

versuche ich mittels ldifde und dem Attribut

 

UserAccountControl: 512

 

einen Account ins ADS zu importieren, erscheint die Fehlermeldung 1325 (Ausführung verweigert) Ohne diesen Eintrag wird die ldif Datei ohne Probleme ausgeführt.

 

Dieser Parameter soll gemäß des gerade durchgearbeiteten CBTs den erstellten Account aktivieren. 514 wäre der Defaultwert, also ein deaktivierter Account.

 

Ist dies ein Sicherheitsmechanismus in w2k3 der sich umgehen lässt?

 

Gruß, Torsten

 

p.s

 

o.k

 

lt. kb 555634

 

13. Using the setting "userAccountControl: 66048" enables the newly created account. By default, an account is created disabled. Note that user account can’t be enabled with blank password if you have a complex password policy defined on the domain. So you’re first step is to change the password and then enable the account.

 

userAccountControl: 514 for disable account

 

Dann frage ich mich eigentlich nur noch, ob man für den Importvorgang die Passwortpolicy umgehen kann.

[ducke 11]

...Dann frage ich mich eigentlich nur noch, ob man für den Importvorgang die Passwortpolicy umgehen kann.

Definitiv nicht.

Du kannst aber per LDIFDE ein Passwort mitgeben.

Wie du das machen kannst, findest du hier:

How to set a user's password with Ldifde

Wie du das Passwort von plain in base-64 encoded Unicode text umwandeln kannst hier:

WindowsDevCenter.com -- Windows Server Hacks: Resetting User Passwords

[heinzelrumpel 10]

Definitiv nicht.

Du kannst aber per LDIFDE ein Passwort mitgeben.

Wie du das machen kannst, findest du hier:

How to set a user's password with Ldifde

Wie du das Passwort von plain in base-64 encoded Unicode text umwandeln kannst hier:

WindowsDevCenter.com -- Windows Server Hacks: Resetting User Passwords

 

Danke für den Tipp. Das mit dem Umwandeln des Passwortes hat funktioniert, aber trotzdem gibt es eine Fehlermeldung, die besagt, dass das Objekt im LDAP nicht gefunden werden kann. Habe es doppelt und dreifach gechecked. Das Objekt existiert definitiv, also natürlich nicht der user, der soll ja erstellt werden, sondern die ou.

 

dn: cn=mike,ou=test,dc=contoso,dc=com
objectclass: user
samaccountname: mike
unicodePWD: JAAyADMAMAAyADcAMwBoAGIA
UserAccountControl: 66048

 

Dann führ eich folgendes aus

c:\>ldifde -i -f  changepwd.ldif
Verbindung mit "w2k3-test.contoso.com" wird hergestellt.
Anmelden als aktueller Benutzer unter Verwendung von SSPI
Das Verzeichnis wird aus der Datei "changepwd.ldif" importiert.
Die Einträge werden geladen..
Fehler in Zeile 1: Objekt nicht vorhanden
Serverseitiger Fehler: "Verzeichnisobjekt nicht gefunden."
0 Einträge wurden erfolgreich geändert.
Fehler im Programm
Es wurden keine Protokolldateien geschrieben. Geben Sie mit der Option -j einen
Protokolldateipfad an, um eine Protokolldatei zu generieren.

 

Lt. Anleitung ist das genau das, was zu tun ist.

 

Gruß, Torsten

[ducke 11]

Versuche mal das bitte:

ldifde -i -v -f  changepwd.ldif -s w2k3-test.contoso.com -j c:\

-v für verbose

-j für logfile

-s DC sollte man immer mit angeben

 

und mal testweise in einer anderen OU

 

//edit

ich sehe gerade, dass du in deiner ldif datei was vergessen hast.

dn: cn=mike,ou=test,dc=contoso,dc=com
[b]changetype: modify[/b]
objectclass: user
samaccountname: mike
unicodePWD: JAAyADMAMAAyADcAMwBoAGIA
UserAccountControl: 66048

[heinzelrumpel 10]

Sorry. Mir ist hier ein copy&paste Fehler unterlaufen:

 

Dies steht im ldif

 

dn: cn=torsten test,ou=test,dc=contoso,dc=com
changetype: modify
replace: unicodepwd
unicodepwd: JAAyADMAMAAyADcAMwBoAGIA
-

 

Die OU test existiert, sowie der user und alles andere.

 

Jetzt mal so

 

c:\>ldifde -i -v -f  changepwd.ldif -s w2k3-test.contoso.com -j c:\
Verbindung mit "w2k3-test.contoso.com" wird hergestellt.
Anmelden als aktueller Benutzer unter Verwendung von SSPI
Das Verzeichnis wird aus der Datei "changepwd.ldif" importiert.
Die Einträge werden geladen.
1: cn=torsten test,ou=test,dc=contoso,dc=com

Fehler in Zeile 1: Ausführung verweigert
Serverseitiger Fehler: "Ein an das System angeschlossenes Gerät funktioniert nic
ht."
0 Einträge wurden erfolgreich geändert.
Fehler im Programm

c:\>

 

 

Das log enthält dies.

 

Verbindung mit "w2k3-test.contoso.com" wird hergestellt.

Anmelden als aktueller Benutzer unter Verwendung von SSPI

Das Verzeichnis wird aus der Datei "changepwd.ldif" importiert.

Die Einträge werden geladen.

1: cn=torsten test,ou=test,dc=contoso,dc=com

Entry DN: cn=torsten test,ou=test,dc=contoso,dc=com

changetype: modify

Attribute 0) unicodepwd:JAAyADMAMAAyADcAMwBoAGIA

 

Fehler in Zeile 1: Ausführung verweigert

Serverseitiger Fehler: "Ein an das System angeschlossenes Gerät funktioniert nicht."

0 Einträge wurden erfolgreich geändert.

Fehler im Programm