instanceType no Active Directory

Question

Eu preciso alterar o atributo instanceType de uma conta de serviço. Se eu tentar alterá-lo do console Usuários e Computadores do Active Directory, ele ficará esmaecido e, se eu tentar alterá-lo por meio do powershell com Set-Aduser, recebo "O atributo não pode ser modificado porque pertence ao sistema".

Alguém tem alguma ideia de como posso alterar o atributo instanceType de 4 para 0?

    

Answer 1

Como você descobriu, o atributo instanceType está marcado como "somente do sistema", já que você poderia mexer com o estado de replicação da réplica de diretório na qual você modifica esse atributo.

Você provavelmente não deveria estar fazendo isso!

Para contornar essa proteção, adicione o seguinte valor do Registro em um Controlador de Domínio:

Key:   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
Name:  "Allow System Only Change"
Type:  DWORD
Value: 0x1

Você poderia usar o PowerShell para isso:

Set-ItemProperty HKLM:\System\CurrentControlSet\Services\NTDS\Parameters -Name "Allow System Only Change" -Value 1

Agora você pode modificar o valor dos atributos instanceType nesse DC. Conecte-se a esse DC específico com o LDP.exe / dsa.msc ou use o parâmetro -Server com os cmdlets do módulo do Active Directory.

Lembre-se de remover a chave do registro depois de fazer as alterações.