Welche Attribute werden beim Kopieren eines AD-Users übernommen?

In einer Support-Situation stellte sich die Frage, welche Felder eigentlich übernommen werden, wenn man ein Benutzerobjekt kopiert.

Dazu muss man wissen, dass dieser Kopiervorgang nicht durch Active Directory selbst erfolgt, sondern durch das Verwaltungswerkzeug. Dieses sollte sich dabei an die Vorgaben des AD-Schemas halten, denn dort ist hinterlegt, welche Attribute “kopierbar” sind. Je nachdem, mit welchem Tool man arbeitet, kann es also durchaus Unterschiede geben.

Da dieser Mechanismus schon in der “Urfassung” des Active Directory enthalten war, ist er leider nicht besonders bequem implementiert worden. Das AD-Schema speichert diese Vorgabe in einem Bitmap-Feld, bei dessen Werten jedes Bit eine eigene Bedeutung hat. Hier geht es um das Attribut “searchFlags”, das Florian Frommherz vor einiger Zeit hier beschrieben hat:

[Florian’s Blog > The searchFlags attribute and its values]
http://www.frickelsoft.net/blog/?p=151

Es geht also um das Bit mit dem Dezimalwert 16. Wie findet man nun heraus, wo dies gesetzt ist?

Wie so oft, hilft auch hier AdFind von Joe Richards. Es bietet nämlich eine Funktion, die u.a. das Feld searchFlags aufschlüsselt und in lesbare Werte übersetzt. Hier also ein Kommando, mit dem sich die Frage beantworten lässt:

AdFind.exe -csv -flagdc -b cn=schema,cn=configuration,dc=faq-o-matic,dc=net -f "(objectClass=attributeSchema)" name searchFlags > SchemaCopy.txt

Dieses Kommando durchsucht das Schema und gibt alle Attribute mit ihrem Namen und dem searchFlags-Wert aus, wobei es diesen eben auflöst. Die Ausgabe erfolgt im CSV-Format in eine Datei, die man dann z.B. mit Excel auswerten kann. Interessant sind in diesem Fall die Zeilen, wo in der Spalte “searchFlags” der Eintrag “COPY VALUE(16)” auftaucht.

Hier also die Liste für das aktuelle AD-Schema unter Windows Server 2012 R2 mit Echange 2016.