Correzione: La modifica della password non viene completata se l'attributo DN dell'utente contiene una barra e un carattere speciale definito dall'Active Directory LDAP in Forefront Threat Management Gateway 2010

Sintomi

Considerare lo scenario descritto di seguito:

• Un amministratore ha l'autenticazione basata su form (FBA) consente di impostare in Microsoft Forefront Threat Management Gateway (TMG) 2010.

• L'attributo nome distinto (DN) di un utente contiene una barra (/) e un carattere speciale definito LDAP di Active Directory Lightweight Directory Access Protocol.

• L'utente tenta di modificare la propria password.

In questo scenario, la modifica della password non viene completata e viene visualizzato il seguente messaggio di errore generico:

Inoltre, la tracciatura in TMG 2010 può indicare che ADsOpenObject non riuscita con 0x80005000 (E_ADS_BAD_PATHNAME) o 0x80072032 (ERROR_DS_INVALID_DN_SYNTAX) l'escape di caratteri speciali nella richiesta LDAP.

Causa

Questo problema si verifica per qualsiasi account utente di Active Directory per cui l'attributo DN contiene un carattere speciale di Active Directory e un carattere barra (/).

Risoluzione

Per risolvere il problema, installare cumulativo 4 per Forefront Threat Management Gateway 2010 Service Pack 2 dopo avere applicato questo aggiornamento, è possibile configurare il Threat Management Gateway per utilizzare l'attributo objectGUID invece di DistinguishedName attributo percorso LDAP di Active Directory per risolvere il problema descritto in questo articolo. Per abilitare questa funzionalità, attenersi alla seguente procedura:

1. Copiare e incollare lo script seguente nel blocco note e salvarlo utilizzando il nome del file "EnableKB2888619.vbs":

   set curArray = CreateObject("FPC.Root").GetContainingArray()Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEABC}"Const SE_VPS_NAME = "UseObjectGUIDInLDAPADsPath"Const SE_VPS_VALUE = 1Sub SetValue()' Create the root obect.Dim root ' The FPCLib.FPC root objectSet root = CreateObject("FPC.Root")'Declare the other objects needed.Dim array ' An FPCArray objectDim VendorSets ' An FPCVendorParametersSets collectionDim VendorSet ' An FPCVendorParametersSet object' Obtain references to the array object' and the network rules collection.Set array = curArray Set VendorSets = array.VendorParametersSetsOn Error Resume NextSet VendorSet = VendorSets.Item( SE_VPS_GUID )If Err.Number <> 0 ThenErr.Clear' Add the itemSet VendorSet = VendorSets.Add( SE_VPS_GUID )CheckErrorWScript.Echo "New VendorSet added... " & VendorSet.NameElseWScript.Echo "Existing VendorSet found... value- " & VendorSet.Value(SE_VPS_NAME)End IfIf VendorSet.Value(SE_VPS_NAME) <> SE_VPS_VALUE ThenErr.ClearVendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUEIf Err.Number <> 0 ThenCheckErrorElseVendorSets.Save false, trueCheckErrorIf Err.Number = 0 ThenWScript.Echo "Done with " & SE_VPS_NAME & ", saved!"End IfEnd IfElseWScript.Echo "Done with " & SE_VPS_NAME & ", no change!"End IfEnd SubSub CheckError()If Err.Number <> 0 ThenWScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.DescriptionErr.ClearEnd IfEnd SubSetValue

2. Eseguire lo script su uno dei membri della matrice Threat Management Gateway. La modifica di script verrà applicate quando si sincronizza la configurazione Threat Management Gateway. Non riavviare il servizio Firewall è necessario rendere effettiva la modifica.

3. Per annullare la modifica e ripristinare il comportamento originale, individuare la seguente riga nello script:

   Const SE_VPS_VALUE = 1

4. Modificare la riga come segue:

   Const SE_VPS_VALUE = 0

5. Salvare lo script e quindi eseguire lo script su uno dei membri della matrice.

Soluzione alternativa

Per risolvere questo problema, rimuovere la barra o il carattere speciale di Active Directory dall'attributo DN dell'utente.

Stato

Microsoft ha confermato che questo problema si verifica nei prodotti elencati nella sezione "Si applica a".

Ulteriori informazioni

Escape di caratteri speciali negli attributi di Active Directory sono i seguenti:

• Virgola ()

• Barra rovesciata (\)

• Simbolo di cancelletto (#)

• Segno più (+)

• Minore (<)

• Segno () di maggiore

• Punto e virgola (;)

• Segno di virgolette doppie (")

• Segno di uguale (=)

• Spazi iniziali o finali

Esempio di attributi di account utente:

sAMAccountName: JeffSmithdisplayName: Ruspini, Davide / TMGdistinguishedName: CN = Smith\, Jeff / TMG, OU = supporto, DC = Fabrikam, DC = comNote

• Il carattere di escape barra rovesciata (\) viene automaticamente aggiunto al nome distinto.

• L'attributo distinguishedName per questo account utente contiene sia la virgola di un carattere speciale di Active Directory (,) e la barra (/).

Riferimenti

Per ulteriori informazioni, vedere quanto segue:

• Nomi distinti

• Active Directory: Filtri di sintassi LDAP

• La modalità di lavoro di ricerche di Active Directory

Vedere la terminologia Microsoft utilizza per descrivere gli aggiornamenti software.