如何使用PowerShell验证Active Directory中已过期的用户密码？

当AD用户密码过期时，常规身份验证方法（如DirectoryEntry、Start-Process）会返回类似密码错误的结果，但无法区分“密码确实错误”和“密码正确但已过期”的情况。可以通过LDAP绑定并捕获特定错误代码的方式来实现验证：

核心原理 #

使用System.DirectoryServices.Protocols.LdapConnection类进行LDAP绑定，该类会返回精确的LDAP错误代码：

• 0x31（十进制50）：密码不正确
• 0x773（十进制1907）：密码已过期，但输入的原密码是正确的
• 0x775（十进制1909）：账户被锁定
• 其他错误代码：如域不可达、权限不足等

PowerShell实现脚本 #

function Test-ExpiredADPassword {
    param(
        [Parameter(Mandatory=$true)]
        [string]$UserName,
        [Parameter(Mandatory=$true)]
        [SecureString]$Password,
        [string]$DomainController = (Get-ADDomain).PDCEmulator
    )

    # 将SecureString转换为明文（仅用于LDAP绑定，注意安全）
    $plainPassword = [System.Net.NetworkCredential]::new("", $Password).Password
    $domain = (Get-ADDomain).DNSRoot
    $fullUsername = "$UserName@$domain"

    try {
        # 创建LDAP连接
        $ldapConnection = New-Object System.DirectoryServices.Protocols.LdapConnection($DomainController)
        $ldapConnection.AuthType = [System.DirectoryServices.Protocols.AuthType]::Negotiate

        # 设置绑定凭据
        $credential = New-Object System.Net.NetworkCredential($fullUsername, $plainPassword)
        $ldapConnection.Bind($credential)

        # 如果绑定成功，说明密码未过期且正确
        return @{
            IsValid = $true
            IsExpired = $false
            Message = "密码有效且未过期"
        }
    }
    catch [System.DirectoryServices.Protocols.LdapException] {
        switch ($_.Exception.ErrorCode) {
            50 { # 0x31 密码不正确
                return @{
                    IsValid = $false
                    IsExpired = $false
                    Message = "密码不正确"
                }
            }
            1907 { # 0x773 密码已过期，但原密码正确
                return @{
                    IsValid = $true
                    IsExpired = $true
                    Message = "密码正确但已过期"
                }
            }
            1909 { # 0x775 账户被锁定
                return @{
                    IsValid = $false
                    IsExpired = $false
                    Message = "账户已被锁定"
                }
            }
            default {
                return @{
                    IsValid = $false
                    IsExpired = $false
                    Message = "LDAP错误: $($_.Exception.Message) (错误代码: $($_.Exception.ErrorCode))"
                }
            }
        }
    }
    catch {
        return @{
            IsValid = $false
            IsExpired = $false
            Message = "未知错误: $($_.Exception.Message)"
        }
    }
}

# 使用示例
$userName = "TestUser"
$password = Read-Host "输入原密码" -AsSecureString
$result = Test-ExpiredADPassword -UserName $userName -Password $password

# 输出结果
Write-Host "验证结果: $($result.Message)"
if ($result.IsValid -and $result.IsExpired) {
    # 这里可以执行密码重置逻辑
    Write-Host "将执行密码重置操作..."
}

为什么之前的方法无效 #

• DirectoryEntry：当密码过期时，会抛出模糊的“目录服务不可用”异常，无法区分密码错误和密码过期的场景。
• Start-Process -Credential：系统层面的身份验证要求必须使用未过期的密码才能创建进程上下文，因此会直接判定过期密码为“用户名或密码不正确”。

注意事项 #

1. 运行脚本的用户需要有LDAP查询权限（无需密码重置权限）。
2. 建议指定域控制器（如PDC模拟器）以确保验证结果准确。
3. 脚本中临时转换SecureString为明文，仅用于LDAP绑定，操作完成后会被回收，尽量减少明文暴露风险。

内容的提问来源于stack exchange，提问作者Magician