本文提供有关在域控制器上禁用对 Active Directory 的匿名 LDAP 操作的问题的一些信息。
适用于： Windows Server 2003原始 KB 数： 326690
总结
默认情况下，Microsoft Windows Server 2003 中不允许对 Active Directory 执行匿名轻型目录访问协议（LDAP）操作（而不是 rootDSE 搜索和绑定）。
详细信息
基于 Windows Microsoft 的域早期版本中的 Active Directory 接受匿名请求。 在这些版本中，成功的结果取决于在 Active Directory 中具有正确的用户权限。
使用 Windows Server 2003 时，只有经过身份验证的用户才能针对基于 Windows Server 2003 的域控制器启动 LDAP 请求。 可以通过更改 DN 路径上的 dsHeuristics 属性的第七个字符来替代此新的默认行为，如下所示： CN=目录服务，CN=Windows NT，CN=Services，CN=Configuration， 林中的根域 DsHeuristics 设置适用于同一林中所有基于 Windows Server 2003 的域控制器。 在 Active Directory 复制时，域控制器无需重启 Windows 即可实现该值。 Microsoft基于 Windows 2000 的域控制器不支持此设置，并且如果这些域控制器存在于基于 Windows Server 2003 的林中，则不会限制匿名操作。
dsHeuristic 属性的有效值为 0,0000002。 默认情况下，DsHeuristics 属性不存在，但其内部默认值为 0。 如果将第七个字符设置为 2（0000002），匿名客户端可以执行访问控制列表（ACL）允许的任何操作，Windows 2000 基于域控制器。
注意
如果已设置该属性，请不要修改 DsHeuristics 字符串中除第七个字符以外的任何字符。 如果未设置该值，请确保提供最多第七个字符的前导零。 此外，还可以使用 Adsiedit.msc 更改属性。
Forest_Name.com林中域控制器上的 dsHeuristics 字符串在使用Ldp.exe查看它时，如下所示。 仅显示选定的属性。
>> Dn： CN=Directory Service，CN=Windows NT，CN=Services，CN=Configuration，DC=<forest_name，DC>=com 2> objectClass：top;nTDSService; 1> cn：目录服务; 1> dSHeuristics：0000002; <第七个字符中的 -2 = 匿名 允许访问。 请注意前导零。 1> 名称：目录服务;