Las operaciones LDAP an�nimas en Active Directory est�n deshabilitadas en los controladores de dominio de Windows Server 2003

Id. de art�culo: 326690 - Ver los productos a los que se aplica este art�culo

Resumen

De forma predeterminada, las operaciones del Protocolo ligero de acceso a directorios (LDAP) en Active Directory no est�n permitidas en Microsoft Windows Server 2003 a excepci�n de las b�squedas y enlaces de rootDSE.

M�s informaci�n

En las versiones anteriores de dominios basados en Microsoft Windows, Active Directory acepta solicitudes an�nimas. En estas versiones, el que el resultado sea correcto depende de si se dispone de los permisos de usuario apropiados en Active Directory.

Con Windows Server 2003, s�lo los usuarios autenticados pueden iniciar una solicitud LDAP con controladores de dominio basados en Windows Server 2003. Puede invalidar este nuevo comportamiento predeterminado cambiado el s�ptimo car�cter del atributo dsHeuristics en la ruta DN de la forma siguiente:

CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,dominio ra�z del bosque

La opci�n DsHeuristics se aplica a todos los controladores de dominio basados en Windows Server 2003 del mismo bosque. Los controladores de dominio se dan cuenta del valor despu�s de la replicaci�n de Active Directory sin tener que reiniciar Windows. Los controladores de dominio basados en Microsoft Windows 2000 no admiten esta opci�n y no limitan las operaciones an�nimas si est�n en un bosque basado en Windows Server 2003.

Los valores v�lidos del atributo dsHeuristic son 0 y 0000002. De forma predeterminada, el atributo DsHeuristics no existe, pero su valor interno predeterminado es 0. Si establece el s�ptimo car�cter en 2 (0000002), los clientes an�nimos pueden realizar cualquier operaci�n que permita la lista de control de acceso (ACL), como los controladores de dominio basados en Windows 2000.

Nota
Si el atributo ya est� establecido, no modifique ning�n car�cter de la cadena DsHeuristics a excepci�n del s�ptimo. Si el valor no est� establecido, aseg�rese de incluir ceros antes del s�ptimo car�cter. Adem�s, puede usar Adsiedit.msc para hacer el cambio en el atributo.

La cadena dsHeuristics en un controlador de dominio del bosque nombreDeBosque.com aparece como se muestra a continuaci�n cuando se observa con Ldp.exe. S�lo se muestran los atributos seleccionados.

>> Dn: CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=<forest_name>,DC=com 2> objectClass: top; nTDSService; 1> cn: Directory Service; 1> dSHeuristics: 0000002; <-2 in the seventh character = anonymous 
        access allowed. Note the leading zeros.
     1> name: Directory Service;