更改 Active Directory 信任关系属性

Question

我想设置 trustDomain 对象的一些属性（所有命令都输入到提升的 shell 中）。

对于入站信任，当我尝试此操作时：

Set-ADObject -Identity "CN=corp.adds,CN=System,DC=tests,DC=adds" `
             -Replace @{'msDS-SupportedEncryptionTypes'=([int]0x18)}

我遇到了这个错误：

+ Set-ADObject -Identity "CN=corp.adds,CN=System,DC=tests,DC= ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo          : InvalidOperation : (CN=corp.ad...ts,DC=adds:ADObject) [Set-ADObject], ADIllegalModifyOperationException
+ FullyQualifiedErrorId : ActiveDirectoryServer:8311,Microsoft.ActiveDirectory.Management.Commands.SetADObject

如果我尝试这个：

$trust = [ADSI]("LDAP://CN=corp.adds,CN=System,DC=tests,DC=adds")
$trust.'msDS-SupportedEncryptionTypes' = ([int]0x18)
#OR THIS too : $trust.Put('msDS-SupportedEncryptionTypes', ([int]0x18))
$trust.SetInfo()

我遇到了这个错误：

The server is unwilling to process the request

我对“trustAttributes”属性的出站信任也有同样的问题

尽管该值实际上是一个整数，但我想知道是否存在某种类型问题。或者可能有一种使用.Net的方法，我没有找到它（信任是用

[System.DirectoryServices.ActiveDirectory.Forest]::GetCurrentForest().CreateTrustRelationship(...)

创建的）

有什么想法吗？谢谢:)

Answer 1

我也尝试更改信任对象属性，但遇到了同样的问题。

奇怪的是，有一个 Get-ADTrust Powershell cmdlet，但没有 Set-ADTrust。

提供的建议是重置信任：

NETDOM TRUST parent.domain /Domain:child.parent.domain /UserD:child\administrator /PasswordD:* /UserO:parent\administrator /PasswordO:* /Reset /TwoWay

这会将其设置回默认值，但可能无法将属性设置为您的首选值。