Bonjour,
 
Je souhaiterais savoir si certains d'entre vous on déja essayé d'utiliser des script VBS pour modifier les informations des comptes active directory.
J'ai effectivement trouvé pas mal d'information la dessus sur internet, mais un problème subsiste : les droits de modifications.
 
En effet, je souhaite que chaque utilisateur modifie lui meme son compte en exécutant le script VBS sur son poste. Ma question est donc : un utilisateur a t-il les droits par défaut de modifier son compte et si oui comment ? Voici mon code de test :
 

 
J'ai un message d'erreur sur la ligne "SetInfo" qui indique que je n'ai pas les droit de le faire. Je précise que lorsque je fait des lectures sur l'AD, je n'ai pas de problèmes.
 
Merci !!

si il passe par l'aduc il a le droit ?

je ne comprend pas bien ta réponse Je@nb. Car l'ADUC se trouve sur le serveur. Quand je suis connecté sur l'AD (enfin dans mon cas l'ADUC est sur le serveur Exchange), je suis connecté en Administrateur. Ce qui fait que j'ai forcément les droits.
 
Bon évidement, je me doute que dans des grandes organisations, cela ne fonctionne pas comme ca mais bon... Je ne suis pas expert en AD.
 
Comment puis-je tester qu'un utilisateur lambda puisse changer les paramètres de son compte (et uniquement de son compte) via l'ADUC ?
 
Merci !!

Dans l'ADUC par exemple tu peux voir les ACL sur les objets utilisateurs, et regarder quel droit a l'objet SELF sur un compte user : par défaut y'a pas les droits d'ecriture général (ce qui est evidemment une bonne chose à ne pas modifier).

Merci de ta réponse.
Donc en résumé, tu dit que ce que je souhaite faire n'est pas très sécurisé ? Car dans tout les cas il faudra effectivement que chaque utilisateur puisse avoir les droits de modification de ses informations. Sinon, mon script me dira toujours que je n'ai pas les droits.

De base un user peut modifier certaines de ses infos, genre ses n° de téléphone, mais si tu lui donne un droit global sur lui même il peut faire des trucs mauvais point de vue sécu : rendre son mot de passe inexpirable, s'enlever son script de boot, changer ses options RAS, etc., et ce que tu veux faire demande a priori les droits complet sur l'objet user.

Tu veux que tes users fassent quoi exactement ?

Je souhaite qu'ils changent via le script VBS leur "title" comme indiqué dans le script ci dessus.  
 
Effectivement vu comme tu le dit il vaut mieux pas donner ces droits aux users !! Je pensais pas qu'ils pouvaient faire tout ca si on leur donnait ces droits !!
 

Arf j'avais pas eu le courage de lire le script, c'était au bout de 3 lignes

Si c'est juste ça, t'as quand meme un peu de granularité sur les droits, si dans l'ACL d'un user tu donnes à SELF les droits d'ecriture sur public information/informations publiques, ça donne le droit de modifier le "title" mais pas tout, meme si personnellement y'a déjà quelques trucs que j'aimerais vraiment pas que mes users puissent bidouiller : http://msdn.microsoft.com/en-us/library/ms684396.aspx
A toi de voir, mais recuperer les infos de titre que les gens veulent et lancer un script en admin pour faire les modifs sur tout le monde d'un coup ça me parait plus judicieux.

Et si tu veux mettre ça en place, avant que ton script marche ça implique donc de changer les ACL de tous tes users existant et de ne pas oublier de le faire ensuite pour les nouveaux.

Qd je parlais de l'ADUC, tu peux installer l'ADUC sur une machine standard (dl et installer les administrative tools). Tu te log avec un user standard et tu regardes si tu peux modifier le champs Title comme ça directement.
 
Si oui ok c'est good, sinon un petit coup de dsacls ou de modif directement dans l'aduc devrait faire l'affaire (tu peux spécifier attribut par attribut les droits).

 
Si tu veux plus court

Merci Je@nb !! Effectivement je me doutait qu'il y avait plus cour pour récupéré les info LDAP d'un user masi je n'avais pas potassé ca car ca marchais !! Merci quand meme, je garde ca de coté !!

Mais le problème de droit est toujours le meme !!Je DL l'ADUC

SInon, effectivement le champs est grisé dans l'ADUC !! J'essaye de modifier les droits sur l'attribut 'titre' maais cela ne dégrise pas mon champ titre... Il faut peut-etre attendre la réplication de l'AD... On verra demain !!
 
allé bonne soirée !

Un F5 devrait suffire