O que as permissões “Ler informações pessoais” e “Escrever informações pessoais” do Active Directory implicam?

Question

Eu tenho uma conta de usuário em um domínio do Active Directory. Apesar dessa conta de usuário ter as informações pessoais Ler informações pessoais e Escrever informações pessoais , quando conectado como usuário, não posso alterar o nome ou o sobrenome.

Qual acesso real as permissões Ler informações pessoais e Escrever informações pessoais implicam? Existe alguma maneira fácil de descobrir qualquer uma das permissões "gerais" (ou seja, qualquer permissão que não seja o atributo Read / Write thisAndThat )?

O DC é uma máquina do Windows 2012 e estou acessando-o usando Usuários e Computadores do Active Directory ( dsa.msc ) do Windows 7 SP1.

    

Answer 1

Esta é a resposta geral (em vez de baixo nível):

Os conjuntos de propriedades são armazenados em CN=Extended-Rights,CN=Configuration,{domain} ; conjuntos de propriedades legíveis / graváveis têm o quinto (16, lido) e / ou sexto (32, gravação) conjunto de bits no atributo validAccesses .

Qualquer atributo (qualquer objeto em CN=Schema,CN=Configuration,{domain} com objectClass definido como attributeSchema ) que faz parte do conjunto de propriedades tem seu atributo attributeSecurityGUID definido como rightsGuid do conjunto de propriedades. Um atributo pode aparentemente ser apenas um membro de até uma propriedade definida por vez.

Obrigado ao Nathan C por me apontar na direção certa!

    

Answer 2

De acordo com este artigo, essas permissões afetam esses atributos :

streetAddress

homePostalAddress

assistant

info

country/region name

facsimileTelephoneNumber (fax number)

International-ISDN-Number

Locality-Name

MSMQ-Digests

mSMQSignCertificates

Personal-Title

Phone-Fax-Other

Phone-Home-Other

Phone-Home-Primary

otherIpPhone

ipPhonenumber

primaryInternationalISDNNumber Phone-ISDN-Primary

Phone-Mobile-Other (otherMobile)

Phone-Mobile-Primary

Phone-Office-Other (otherTelephone)

Phone-Pager-Other

Phone-Pager-Primary

physicalDeliveryOfficeName

thumbnailPhoto (Picture)

postalCode

preferredDeliveryMethod

registeredAddress

State-Or-Province-Name

Street-Address

telephoneNumber

teletexTerminalIdentifier

telexNumber

primaryTelexNumber

userCert

User-Shared-Folder

User-Shared-Folder-Other

userSMIMECertificate

x121Address

X509-Cert

O nome do usuário não está incluído nessa lista, portanto, essas não são as permissões adequadas a serem concedidas. "Informações gerais" é a categoria na qual você encontrará o nome.