active-directory - LDAP pwdlastset 无法更改而不显示错误

Question

我有一个问题需要帮助。

我使用 LDAP 和 PHP 来验证用户，我还检查用户密码是否标记为过期。如果用户的密码未过期或管理员已勾选该框以强制重置密码，这一切都可以正常工作。但是，当密码通过组策略过期时，我会遇到问题。

为了使我在用户的密码被标记为过期时仍然可以对用户进行身份验证，我需要将 pwdlastset 值更改为 -1，然后再恢复到最初的值。但这只是在密码过期而不是更改 pwdlastset 值时抛出异常。

异常(exception):

0x50 (Other (e.g., implementation specific) error; 00000057: SysErr: DSID-031A1202, problem 22 (Invalid argument), data 0 ): updating: CN=Steve,OU=Developer Groups,DC=external,DC=domain,DC=local in

谁能帮我确认一下，一旦密码通过策略过期，我就无法更改此值是否正确？

如果我无法更改此值，是否有解决办法？

谢谢

Answer 1

只有系统可以将 pwdLastSet 属性修改为 0 或 -1 以外的任何值。如果指定 0，则密码立即过期。然后，当用户更改密码时，系统会将当前日期/时间分配给 pwdLastSet 属性。

值 -1 对应于 64 位属性中允许的最大整数 2^63-1。此值与 0 相反。它使密码不会过期。当用户下次登录时，pwdLastSet 属性会被系统设置为当前日期/时间对应的值。