问题标签 [adsi]

我的问题是ADSI如何执行SetPassword操作。根据我阅读的内容，ADSI 是一个 COM 接口，它具有比 AD 通过 LDAP 提供的更多功能。虽然您假设通过 LDAP 更新个人帐户实体的 unicodePwd 属性，但 ADSI 为您提供了 SetPassword 调用。我知道 ADSI & AD 在身份验证期间提供 Kerberos。那么调用 SetPassword 时，密码是如何传输到服务器的呢？它是原始二进制未加密数据吗？或者 Kerberos 是否会在这次电话会议中发挥作用？

对于活动目录中的用户，属性保存 lastlogontime 和 lastlogontimestamp 的值，但登录计数为 0。我在该域中只有一个域控制器。

我上网发现，logonCount 值为 0 表示该值是未知的。但我完全不知道为什么它是未知的。是不是AD的问题。

我需要监视和控制在本地机器上或远程运行的一组 Windows 服务。我听说过 WMI 和 ADSI，第一个似乎可以满足我的要求。在深入研究之前，我只想检查我是否朝着正确的方向前进？

谢谢

编辑 附加信息：我还需要检查 SQL 作业和 IIS 实例，所以我认为 WMI 是我需要的。

我可以使用 WMI 创建 IISWebVirtualDir 或 IISWebVirtualDirSetting，但我没有找到将虚拟目录转换为 IIS 应用程序的方法。虚拟目录需要一个 AppFriendlyName 和一个路径。这很容易，因为它们是 ...Setting 对象的一部分。但是为了将虚拟目录变成一个App，你需要设置AppIsolated=2和AppRoot=[它的root]。

我不能用 WMI 做到这一点。我宁愿不混合 ADSI 和 WMI，所以如果有人能指导我在 WMI 中实现这一点，我会非常高兴。

这是我的演示代码：

有什么想法吗？

使用工作代码更新

谢谢加勒特和格伦。

我想LastPasswordSet在 Microsoft Active Directory 中设置用户的属性。

.NET UserPrincipalAPI 将该LastPasswordSet属性公开为只读。

有没有办法解决这个问题，设置值（也许使用 ADSI）？

编辑：

MSDN提供以下示例代码：

这会强制用户在下次登录时更改密码。我想如果我用相关格式的日期时间替换 -1，这会做我想要的。

然而，它并没有显示我是如何掌握校长的（大概是usr）。我会投票赞成任何有助于我发现这一点的东西。

我创建了一个脚本，该脚本从 CSV（或其他数据集，但不发布该数据集）读取并在我的 AD 环境中创建用户。

基本上，将处理传递到脚本中的任何数据集，然后如果用户不存在，则将创建用户。如果用户已经存在于 AD 中，则脚本会跳过该条目。这是一个仅创建脚本。

它很慢，我想在保持功能的同时提高性能。你能给我一些关于如何让这个表现更好的建议吗？

提前感谢您提供的任何帮助。

当开发人员切换他/她的环境以处理另一个项目时，我有一些 vbscript 代码用于设置虚拟目录的路径。目前，我们尝试设置路径，如果有错误，我们创建它。它只是闻起来很有趣。有没有办法检查虚拟目录是否存在？如果没有，创建它？

这工作得很好，但有件事告诉我，一定有更好的方法。有没有人有什么建议？如何检查虚拟目录是否存在？任何反馈表示赞赏。

感谢您的任何指示。
干杯，
~ck 在圣地亚哥

我搜索了该站点的信息并发现了这一点： ASP.NET C# Active Directory - See how long before a user's password expires

它解释了如何根据域策略获取密码过期时间的值。

我的问题是：如果用户的 OU 组策略具有不同的 MaxPasswordAge 值，覆盖域组策略中指定的值怎么办？如何以编程方式获取 OU 的组策略对象？

编辑：为了让这个问题更清楚一点，我添加了这个编辑。我所追求的是能够判断用户密码何时过期。据我了解，日期值可以由域本地策略或组对象策略管理。我有一个将 Linq 转换为 Ldap 查询的 Linq2DirectoryService 提供程序。因此，获取日期到期值的 LDAP 查询对于这个主题是最佳的。如果您的回答包括.net 支持的对象包装器包含在此等式中 - 这将是一个死答案！

我正在尝试使用 Perl 来确定 Windows 用户是否是 Windows 组的成员，如果该组包含嵌套组。

我试过使用Win32::NetAdmin::GroupIsMember()，但只有当用户是该组的直接成员时它才有效。

我不是 AD 或 LDAP 专家，但我搜索的示例表现出相同的行为。

例如，用户“joe”是组“A”的成员。组“A”是组“B”的成员。我想测试看看 joe 是否是“B”的成员。

我正在尝试使用 .NET System.DirectoryServices 命名空间在我的开发活动目录服务器上创建一个新用户。

我尝试使用以下代码：

我也尝试过使用

在我调用 Invoke 设置密码之前。我总是得到一个 TargetInvocationException 包装：

异常总是只在我调用时抛出

如果在尝试使用 SetPassword 调用 Invoke 之前调用 newUser.CommitChanges()，则会在域上创建新用户。然后我可以手动转到 AD 机器并毫无问题地设置相同的密码（因此密码字符串违反规则不是问题）。我注意到网上有很多关于此的帖子，但没有找到解决方案。

我认为这可能与运行代码的机器不是域中的成员有关。尽管用户 TESTDOM\Administrator 是 TESTDOM 域上的管理员、域管理员、模式管理员和企业管理员组的成员。

请注意，当我使用 .NET 2 时，我不能使用 System.DirectoryServices.AccountManagement 命名空间关于如何解决这个问题的任何想法？生无可恋