活动目录：member 和 memberof 属性关系答案

【问题标题】：Active directory: member and memberof properties relationship活动目录：member 和 memberof 属性关系
【发布时间】：2012-07-07 04:34:16
【问题描述】：

在 Active Directory 中修改组的member 属性（假设为asdiedit），自动修改相应用户的memberOf 属性？

作为次要问题，在一个组的allowedAttributesEffective 中设置member 会自动在所有用户的allowedAttributesEffective 属性中添加memberof？

我还没有修改member属性的权限，所以我不能自己测试。

【问题讨论】：

【解决方案1】：

是的，如果您修改组的member 属性。它将自动更新memberOf 属性。

memberOf 属性称为计算反向链接属性 或构造属性。它由 Active Directory 维护和计算。您不能修改此属性。

同样，allowedAttributesEffective 是一个计算属性，反映了在 AD 对象上设置的实际 ACL。您不能直接设置此属性，但可以修改 AD 对象上的 ACL。该属性将反映事实。

组的allowedAttributesEffective 属性和用户的allowedAttributesEffective 没有关系。他们是独立的。在组对象上设置 ACL 不会影响组包含的用户对象上的 ACL。

【讨论】：

为了完整起见，我可以直接修改用户的memberOf属性吗？如果是，我是否需要为用户的 memberof 属性和组的 member 属性设置 allowedAttributesEffective 才能成功？
@Eduard 您不能修改memberOf 属性。它是由 Active Directory 计算的。
@HarveyKwok 我发誓我已经在我的企业系统上看到了这个不同步。其中用户的memberOf 属性与相应组的member 属性不一致。这是否表明存在重大系统问题？还是我的企业系统的可能自定义配置？
@NicholasDiPiazza，不一定。 memberOf 属性是一个构造的 属性，但是AD 中的组成员资格计算很复杂。如果用户是同一林中另一个域的域本地组的成员，memberOf 属性将无法显示。