- PR -

Active Directory ユーザアカウントの権限について

1
投稿者投稿内容
Tylor
常連さん
会議室デビュー日: 2005/07/27
投稿数: 22
投稿日時: 2006-08-03 16:07
Active Directory 環境にて、
PDC 以外のコンピュータから LDAP 検索などでユーザアカウントに設定されている
権限(所属するグループ)を知る事はできるのでしょうか？

具体的な例にいいますと、
「ドメインに所属するマシーンにログインしたユーザ(管理者権限アリ)が、
PDC でない PC からでもユーザアカウントの追加や権限(所属するグループ)の
設定又は参照ができるのか？」
という所です。

方法、または、できるのであればそのシーケンスを存知の方がいらっしゃいましたら
ご教授を願いたく。

以上。
dellgate
大ベテラン
会議室デビュー日: 2004/02/20
投稿数: 198
投稿日時: 2006-08-03 16:16
既出ですが。。。
Active DirectoryではPDCは存在しません（エミュレータは存在しますが）

それはさておき、adminpack をインストールするとDC以外の任意のPCから
管理ができるようになります。
CD-ROMのi386フォルダに[ADMINPAK.MSI]があるのでそれをインストール
してください。

Ｐ．Ｓ
　Windows Server 2003では・・・でした。
　2000 Serverでは分かりかねます。;;

[ メッセージ編集済み 編集者: dellgate 編集日時 2006-08-03 16:17 ]
Tylor
常連さん
会議室デビュー日: 2005/07/27
投稿数: 22
投稿日時: 2006-08-03 17:56
引用:

dellgateさんの書き込み (2006-08-03 16:16) より:

既出ですが。。。

Ｐ．Ｓ
　Windows Server 2003では・・・でした。
　2000 Serverでは分かりかねます。;;


既出でしたか。検索はしてみたのですが、私の求めている内容が
ありませんでしたので、投稿させていただきました。条件絞込みが
不十分だったようです。申し訳ありません。

dellgateさん、ご返答ありがとうございます。
非常に参考になりました。

早速、[ADMINPAK.MSI]を導入し、動作確認を行なってみました。
Windows 2000 Server AD、Windows 2003 Server AD、どちらでも
動作する事を確認いたしました。ありがとうございます。

ちなみに、通信内容を確認してみると LDAP で行なわれているようでが、
暗号化されているため(アカウント情報なので当然ですが;、どの様な
LDAP 通信(Search、Add、Modify など) が行なわれているのかよく
分かりませんでした。

興味本位で申し訳ないのですが、具体的にどの様な通信内容が行なわれて
いるのかご存知の方がいらっしゃいましたらご教授願いたく。
また、Linux の LDAP CLIENT を使用して、AD のユーザアカウントの
追加、変更、削除というのは可能なのでしょうか？

問い合わせる会議室を間違っているかもしれませんが・・・・。
どなたか情報お持ちの方がいらっしゃいましたらご教授ください。
Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2006-08-03 18:39
ADの制御通信をLDAPという視点で確認、操作したいなら、
SupportToolsに入ってるActive Directory LDAP Browsing Utility(LDP.exe)を
使うのがよいかと。

暗号化を解除して、という視点であれば(Windows2003のAD管理用LDAP通信は既定で暗号化&署名)、
暗号化を無効にする方法自体はあります。
当然やるなら検証環境で。
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/ja/library/ServerHelp/3774e4ad-4dbf-4876-bc6a-ffd30f9eaeaf.mspx?mfr=true
_________________
Mattun
Microsoft MVP for Directory Services
(Oct 2006-Sep 2007)
Tylor
常連さん
会議室デビュー日: 2005/07/27
投稿数: 22
投稿日時: 2006-08-04 17:58
Mattunさん、ご返答ありがとうございます。
非常に参考になりました。

暗号化を無効にし、dellgateさんから情報提供いただいた
管理ツールを使用して、LDAP での制御通信内容がよく分かりました。

また、Active Directory LDAP Browsing Utility(LDP.exe)は、
視覚的に分かりやすく通信内容を表示してくれるので非常に
勉強になりました。ありがとうございます。

当方、WireSharp を使用してパケットキャプチャをしていたのですが、
LDP.exe での通信内容を WireShark がうまく Parse 出来なかったようで、
invalid LDAP message と表示されてしまうようでした。

だからといって問題があるわけではないのですが;;;;
別のツールでは、問題なく WireShark で解析できましたので、
LDP.exe では Micorosoft 社独自の通信をされているのかと、
少し気になりました。
1

スキルアップ／キャリアアップ（JOB@IT）