AD中的unicodePwd属性

Question

有人能解释一下unicodePwd属性在AD中是如何工作的吗。

具体来说，当我打开“ADSI编辑器”，然后打开一个用户属性并查看属性时，“UnicodePwd”属性显示为“未设置”。事实上，用户确实有密码。密码是存储在这里的吗？

此外，我可以通过右键单击用户并选择重置密码来重置用户密码...但是如果我尝试通过更新UnicodePwd来设置，使用正确的十六进制，并且我很确定使用正确的复杂性，我会得到：

操作失败。错误代码：0x1f SvcErr:DSID-031A1236，问题5003（将不执行），数据0

Answer 1

Active Directory将密码存储在Unicode Depwd属性中的用户对象或inetOrgPerson对象上。

UnicodePwd不存储用户密码，默认情况下不会自行设置。它用于在属性中对密码进行编码。

此属性可以在受限条件下写入，但无法读取。属性只能修改；无法在对象创建时添加或通过搜索查询。

要修改此属性，客户端必须与服务器建立128位传输层安全（TLS）/安全套接字层（SSL）连接。只要满足最小密钥长度，也可以接受使用SSP创建的会话密钥（使用NTLM或Kerberos）的加密会话。

参考：https://docs.microsoft.com/en-us/troubleshoot/windows/win32/change-windows-active-directory-user-password

注意：unicodePwd属性的语法是Object（副本链接）。然而，DC要求在UTF-16编码的Unicode字符串中指定密码值，该字符串包含由引号包围的密码，该密码已按照对象（副本链接）语法编码为八位字节字符串。