问题标签 [active-directory]

我正在为客户端编写一个 Intranet 应用程序，我想让他们能够通过管理界面进行配置，用户和用户组可以访问某些区域。我想知道的是存储对分配给 Intranet 区域的用户或组的引用的最佳方式。

我应该使用域\用户名和域\组名字符串，还是应该使用完全限定的广告名称，即ou=computer room;cn=blah等？

我将把引用存储在 SQL 中。

我正在使用 SQL Server ADSI 从 Active Directory 导入数据，并使用 whenChanged 字段来控制是否需要重新导入组的成员。

问题是日期在 GMT 中返回，而我目前在 BST。

所以，今天早上9点50分换了会员，我说的AD工具是9点50分，但是ADSI查询返回8点50分。这意味着如果一个小时内有两个变化，我会错过一个。

我正在使用的查询如下所示：

我可以使用另一个字段来给我一个准确的日期吗？有没有更好的方法来做我想要在 SQL Server 中做的事情？

我需要能够从程序的 Windows 会话中注销任何用户。

我知道我可以以管理员身份登录并强制远程注销。有没有其他方法可以在不登录的情况下强制注销？

该工具将以管理员身份运行，因此这不是问题，无需登录即可远程注销。

工具在 .NET 中，但欢迎使用任何其他方式（JScript、从 PInvoke 运行的命令行工具等）

我正在实现一个插件架构来实现身份验证，这是一个网站的外部身份验证机制。我计划提供的插件之一是 ActiveDirectory 插件。我想实现 MembershipProvider 的一些功能，包括 MinRequiredPasswordLength，但不想完全实现或配置 ActiveDirectoryMembershipProvider。

有谁知道如何查询 AD 并获得所需的最小密码长度？我知道这可以由 GPO 设置，并根据策略因用户/计算机而异，但我想提供基于域默认值的默认值，而不是任意数字。

[编辑] ActiveDirectoryMembershipProvider 的配置示例将其显示为在配置中设置。有没有办法将它与域策略联系起来？

我的应用程序在tomcat 下运行。它使用 GSS API (JNDI) 通过 Kerberos 连接到 Active Directory LDAP 服务器。它允许用户定义 AD 服务器并尝试连接到它们。但是，一旦第一次使用连接尝试的 Kerberos 完成后，应用程序就不会再次读取 Kerberos 配置 ( /etc/krb5.conf)。因此，对其进行任何更改都需要重新启动 tomcat。

我怎样才能避免这样的重启？如何在每次连接尝试之前强制应用程序重新加载 Kerberos 配置？

如何使用 win32 api 获取域用户帐户列表？

特别是，当计算机不是域控制器时，我无法获取此列表。相反，它是域的成员。

我正在对正在开发的应用程序进行故障排除，该应用程序在多林环境中使用来自 Active Directory 的信息，我目前的问题是确定林信任是否是可传递的，如果是在什么条件下传递。

设置：使用 Active Directory 2003，ForestA与ForestB具有双向林信任。 ForestB与ForestC具有双向森林信任。

在这种情况下，ForestA 和 ForestC 之间是否存在某种信任关系？我发现了一些相互矛盾的信息；第一个链接清楚地表明森林信任不传递到其他森林：

森林信托

林信任只能在两个林之间创建，不能隐式扩展到第三个林。这意味着，如果在林 1 和林 2 之间创建了林信任，并且在林 2 和林 3 之间也创建了林信任，则林 1 将不会与林 3 建立隐式信任。

但是，我还可以在信任类型列表中找到森林信任是可传递的指示：

信任类型

信任类型：森林传递性：传递性

当通过“管理域和信任”查看时，在此林信任的顶部，在 Active Directory 信任列表中显示为“可传递”

这是否意味着森林信任在信任森林内是可传递的，但不能传递到其他森林？所以在前面提到的场景中：

森林A <->森林B <->森林C

子域将通过传递性获得森林信任（因此 subdom1. ForestA将信任 office7. ForestB ）但ForestA和ForestB之间将共享访问权限。这是正确的，还是我对微软发布的相当混乱的信息感到困惑？有没有人有这方面的亲身经历可以分享？

我的应用程序允许定义多个 LDAP 服务器来使用。可能想要定义对多个 LDAP 服务器的 Kerberos 访问。可以做到吗？单个主机可以在 Active Directory 服务器之间使用 Kerberos 作为连接方法吗？

我正在编写一个使用 Windows 身份验证的 Web 应用程序，我可以很高兴地使用以下内容获取用户的登录名：

但我不需要他们的登录名，我想要他们的 DisplayName。我已经敲了几个小时的头了...

我可以通过 Web 应用程序访问我组织的 AD 吗？

昨天我们度过了糟糕的一天。我们的一位域管理员删除了一个 OU，其中包含 700 多个用户和相同数量的计算机以及各种其他有用的东西，如组等。

我们从备份中恢复，但它并不漂亮。

我知道 ADUC 会询问您是否确定等...但是如果无法删除此特定 OU 而无需进入 ADSIEdit 之类的设置以将其设置为“允许”删除 - 从而不允许人们在不实际打开新应用程序的情况下删除并特别指出“是的 - 我知道我在做什么”。这将具有阻止意外错误编码删除关键 AD 对象的额外好处。

你们能想到的任何这样的属性或方法吗？