如何通过PHP LDAP类在Active Directory中修改“ cn”和“ name”属性

Question

我正在尝试使用PHP脚本更改Active Directory信息。

我可以更改除“ cn”和“ name”属性之外的所有所需属性。

尝试更改它们时，出现错误“服务器不愿意执行”

Warning: ldap_modify(): Modify: Server is unwilling to perform

另外，当我尝试更改密码时，它不起作用。我没有收到任何错误/警告，但它没有更改密码。（如您所见，我正在尝试将密码更改为Mike @ 1234567。此更新可以正常运行，因为我能够看到新值，但它不会更改用户密码。（即，新的userPassword值为{SHA} i9Ai8Y8xRGcXEd3mpZ4x6JhHkWM =）

以下是我用来修改条目的函数

function userchange($username, $firstName, $lastName, $domadlogin, $domadpw, $domctrl, $enable=1, $ldapBase = 'DC=domain,DC=com', $new_status = 512, $password = 'Mike@1234567'){

    $ds = ldap_connect($domctrl);
    if (!$ds)
        die('Cannot Connect to LDAP server');

    ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
    ldap_set_option($ds, LDAP_OPT_REFERRALS, 0);

    $ldapBind = ldap_bind($ds,$domadlogin,$domadpw);

    if (!$ldapBind)
        die('Cannot Bind to LDAP server');

    $sr = ldap_search($ds, $ldapBase, '(samaccountname='.$username.')');
    $ent= ldap_get_entries($ds,$sr);

    $dn=$ent[0]["dn"];

    $userdata=array();

    $new = 514; //disable?

    if ($enable == 1) 
        $new = $new_status;


    //change the user status
    $userdata["useraccountcontrol"] = $new;

    $userdata["cn"] = $firstName.' '.$lastName;
    $userdata['name'] = $firstName.' '.$lastName;

    $userdata['displayname'] = $firstName.' '.$lastName;
    $userdata['givenname'] = $firstName;
    $userdata['sn'] = $lastName;

    $update_ldap = ldap_modify($ds, $dn, $userdata); 

        if(!$update_ldap)
            return false;

    $sr = ldap_search($ds, $ldapBase, '(samaccountname='.$username.')');
    $ent= ldap_get_entries($ds,$sr);
    $new_first_ent = ldap_first_entry($ds,$sr);

    if(!empty($password)){

        $encode_password = "{SHA}" . base64_encode( pack( "H*", sha1( $password ) ) );
        $newEntry['userpassword'] = "$encode_password";
        $update_ldap = ldap_mod_replace($ds, $dn, $newEntry );

        if(!$update_ldap)
            return false;

    }

    ldap_close($ds);
    return true;
}   

Answer 1

首先，当您想要修改用于构建专有名称（DN）的属性时，可以修改所谓的相对专有名称（RDN）。从LDAP的角度来看，您必须为此使用特殊的动词（modRDN），这意味着您应该在PHP中使用特殊的API。PHP不是我的环境，但是我认为ldap_rename可以解决问题。

其次，就Active-directory而言，密码不是在' userpassword'中而是在' unicodePwd'中，您在另一个Stckoverflow问题中有一个示例。并且要小心，您需要使用LDAPS来设置' unicodePwd'。您还可以查看使用PHP通过LDAP更改Active Directory密码。