java - 尝试在带有 unboundid LDAP SDK 的 scala 中更改密码时，如何解决 "WILL_NOT_PERFORM"MS AD 回复？

Question

我正在与 Active Directory 搏斗，试图让它让我更改密码。我发现了大量有用的信息，但我仍然遇到一个持续的错误。

部分代码:

import com.unboundid.ldap.sdk._
import com.unboundid.util.ssl._


def main(args: Array[String]) : Unit = {

var sslUtil = new SSLUtil( new TrustAllTrustManager() )
var con = new LDAPConnection(sslUtil.createSSLSocketFactory())
con.connect("ldap.example.net", 636)
con.bind("ldapadmin", "adminpasswd")
val newPass = "Jfi8ZH8#k".getBytes("UTF-16LE");
val modRequest = new ModifyRequest("dn: cn=Tester Dude,ou=Lab,ou=Org,ou=Provider,DC=example,DC=net",
  "changetype: modify",
  "replace: unicodePwd",
  "unicodePwd: " + '"' + newPass + '"')

println("\nGoing to try to set password to " + newPass + " with: " + modRequest.toString())

try {
  con.modify(modRequest)
} catch {
  case lde:LDAPException => println("failed LDAPException: " + lde.toString())
}

}

因此，我将其视为运行时错误:

尝试将密码设置为 [B@6dd1627e 并使用:ModifyRequest(dn='cn=Tester Dude,ou=Lab,ou=Org,ou=Provider,DC=example,DC=net', mods={替换 unicodePwd})

失败的 LDAPException: LDAPException(resultCode=53 (不愿执行), errorMessage='0000001F: SvcErr: DSID-031A11E5, 问题 5003 (WILL_NOT_PERFORM), data 0', diagnosticMessage='0000001F: SvcErr: DSID-031A11E5, 问题 5003 (WILL_NOT_PERFORM), 数据 0')

所以在我知道的事情中可能会导致这个错误:

1. 未通过 SSL 连接。 (这里不是这种情况，我已经使用 netstat 100% 确定我在端口 636 上)
2. 传递的密码违反了 Active Directory 密码政策。 (我已经测试过手动设置确切的密码；它会拒绝短/简单密码，但它接受我在此代码中使用的密码)

我已经尝试过使用和不使用密码周围的额外引号。

迄今为止最有用的信息来源是:

http://www.dirmgr.com/blog/2010/8/26/ldap-password-changes-in-active-directory.html

但我已经用尽了那里(以及许多其他地方)的所有建议。

我还尝试了其他几项操作，包括为手动添加的其他有效用户设置密码。 (这个也是通过 sdk 添加的。)

其他操作正常。我已经删除了不相关的代码，但我能够毫无问题地搜索、打印属性、添加和删除用户；但是这个修改请求失败了。如果我将 ModifyRequest 设置为更改其他一些属性，例如关联的电子邮件，那也可以正常工作。

Answer 1

连接不够安全

引自:http://support.microsoft.com/kb/269190

In order to modify this attribute, the client must have a 128-bit Secure Socket Layer (SSL) connection to the server.

因此，即使其他一切看起来都正确，如果连接被视为不安全，您仍可能会收到 SvcErr: DSID-03190F4C, problem 5003 (WILL_NOT_PERFORM)。

缺乏管理员权限

如果您尝试在没有足够权限的情况下执行替换，修改请求可能会失败。

dn: CN=johndoe,OU=Users,DC=example,DC=com
changetype: modify
replace: unicodePwd
unicodePwd:: base64(utf16le(quoted(password)))
-

在这种情况下，您将得到一个SecErr: DSID-03150E47, problem 4003 (INSUFF_ACCESS_RIGHTS)。如果您尝试使用非特权帐户绑定(bind)，就会发生这种情况。

密码历史

一些管理员喜欢有很长的密码历史记录(例如保存的最后 24 个密码)。如果您使用的旧密码已存在于历史记录中，您将收到 CONSTRAINT_ATT_TYPE。

普通用户

1. 保护连接

2. 使用删除-添加组合。

例如

dn: CN=johndoe,OU=Users,DC=example,DC=com
changetype: modify
delete: unicodePwd
unicodePwd:: base64(utf16le(quoted(old password)))
-
add: unicodePwd
unicodePwd:: base64(utf16le(quoted(new password)))
-