Проблемы
Рассмотрим следующий сценарий.
-
Администратор имеет формы проверки подлинности на основе (FBA) настройки в Microsoft Forefront угроз Management Gateway (TMG) 2010.
-
Атрибут различающегося имени (DN) пользователя содержит косой черты (/) и Active Directory Lightweight Directory Access Protocol LDAP определенных символов.
-
Пользователь пытается изменить свой пароль.
В этом случае изменение пароля не выполняется и пользователь получает следующее сообщение универсальное сообщение об ошибке:
Недопустимое имя пользователя или старый пароль или новый пароль не соответствует минимальным требованиям сложности. Повторите попытку.
Кроме того трассировки в TMG 2010 может указывать на сбой ADsOpenObject 0x80005000 (E_ADS_BAD_PATHNAME) или 0x80072032 (ERROR_DS_INVALID_DN_SYNTAX), так как escape-символ в LDAP-запрос.
Причина
Эта проблема возникает для любую учетную запись пользователя Active Directory, для которого атрибут DN содержит специальный символ Active Directory и прямой косой черты.
Решение
Для решения этой проблемы установите накопительным пакетом обновлений 4 для Microsoft Forefront угроз управления шлюзом 2010 Пакет обновления 2 после установки этого обновления, можно настроить Threat Management Gateway использовать атрибут objectGUID вместо DistinguishedName атрибута протокола LDAP Active Directory пути для устранения проблемы, описанной в этой статье. Чтобы включить эту функцию, выполните следующие действия.
-
Скопируйте и вставьте следующий сценарий в Блокнот и сохраните его, используя имя файла «EnableKB2888619.vbs»:
set curArray = CreateObject("FPC.Root").GetContainingArray()Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEABC}"Const SE_VPS_NAME = "UseObjectGUIDInLDAPADsPath"Const SE_VPS_VALUE = 1Sub SetValue()' Create the root obect.Dim root ' The FPCLib.FPC root objectSet root = CreateObject("FPC.Root")'Declare the other objects needed.Dim array ' An FPCArray objectDim VendorSets ' An FPCVendorParametersSets collectionDim VendorSet ' An FPCVendorParametersSet object' Obtain references to the array object' and the network rules collection.Set array = curArray Set VendorSets = array.VendorParametersSetsOn Error Resume NextSet VendorSet = VendorSets.Item( SE_VPS_GUID )If Err.Number <> 0 ThenErr.Clear' Add the itemSet VendorSet = VendorSets.Add( SE_VPS_GUID )CheckErrorWScript.Echo "New VendorSet added... " & VendorSet.NameElseWScript.Echo "Existing VendorSet found... value- " & VendorSet.Value(SE_VPS_NAME)End IfIf VendorSet.Value(SE_VPS_NAME) <> SE_VPS_VALUE ThenErr.ClearVendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUEIf Err.Number <> 0 ThenCheckErrorElseVendorSets.Save false, trueCheckErrorIf Err.Number = 0 ThenWScript.Echo "Done with " & SE_VPS_NAME & ", saved!"End IfEnd IfElseWScript.Echo "Done with " & SE_VPS_NAME & ", no change!"End IfEnd SubSub CheckError()If Err.Number <> 0 ThenWScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.DescriptionErr.ClearEnd IfEnd SubSetValue -
Запустите сценарий на одном из членов массива Threat Management Gateway. Сценарий изменения вступят в силу при синхронизации конфигурации Threat Management Gateway. Без перезапуска службы брандмауэра не требуется, чтобы изменения вступили в силу.
-
Чтобы отменить изменения и вернуться в исходное поведение, найдите следующую строку сценария:
Const SE_VPS_VALUE = 1
-
Измените эту строку следующим образом:
Const SE_VPS_VALUE = 0
-
Сохраните сценарий и запустить его на один из элементов массива.
Обходное решение
Чтобы обойти эту проблему, удалите косой черты или специальный символ Active Directory из атрибута различающегося Имени пользователя.
Статус
Корпорация Майкрософт подтверждает наличие этой проблемы в своих продуктах, которые перечислены в разделе "Применяется к".
Дополнительная информация
Ниже перечислены escape-знаки в атрибуты Active Directory.
-
Запятая ()
-
Знак обратной косой черты (\)
-
Знак номера (#)
-
Знак плюс (+)
-
Меньше, чем перенаправление (<)
-
Знак () больше
-
Точка с запятой (;)
-
Знак кавычек ("")
-
Знак равенства (=)
-
Начальные или конечные пробелы
Пример атрибутов учетной записи пользователя:
sAMAccountName: JeffSmithdisplayName: Иванов, Джефф / TMGdistinguishedName: CN = Smith\, Джефф / TMG, Подразделение = поддержки, DC = Fabrikam, DC = comПримечания
-
Различающееся имя автоматически добавляется escape-символом обратной косой черты (\).
-
Атрибут distinguishedName для данной учетной записи пользователя содержит специальный символ Active Directory запятая (,) и косая черта (/).
Ссылки
Дополнительные сведения см.
Корпорация Майкрософт использует термины для описания обновлений программного обеспечения см.
