atributo userPassword do Active Directory

Question

Eu li um pouco sobre o assunto do atributo userPassword no AD e como ele pode ser definido como um write-alias para unicodePwd.

Estamos pensando em mudar do OpenLDAP para o AD. Eu posso extrair o userPassword de OpenLDAP como uma cadeia de hash salgados {ssha} blabla ... Minha pergunta é, posso então definir essa senha "como está" no atributo userPassword do AD com write-alias ativado, e que, em seguida, atualizar o atributo unicodePwd automaticamente? Ou o campo userPassword espera senhas claras?

Basicamente, existe alguma maneira de transferir as senhas de usuário do OpenLDAP para o AD?

    

Answer 1

Eu não acredito que isso possa ser feito, devido ao fato de que o hash não é reversível e é salgado.

Geralmente, mesmo entre domínios do AD, as ferramentas que fazem isso interceptam a solicitação de alteração de senha no nível do controlador de domínio e executam a mudança em ambos os domínios ao mesmo tempo, isso não é feito por meio da sincronização dos dados reais do atributo LDAP.

Eu sugeriria investigar alternativas como uma interface da web em que as pessoas pudessem se autenticar em relação ao antigo LDAP que pegaria a senha e a definiria no AD ou algo semelhante.

    

Answer 2

Você não pode injetar o hash do OpenLDAP para o AD e esperar que ele funcione.