使用Set-ADAccountPassword修改AD自身密码时遇权限拒绝问题排查

问题描述 #

编写PowerShell脚本定期修改AD账户密码，执行步骤如下：

• 从Key Vault获取当前用户密码
• 用获取的用户名和密码创建PSCredential对象$credential
• 生成明文新密码并转换为安全字符串$newpass
• 执行命令：Set-ADAccountPassword -Identity "testuser" -Reset -NewPassword $newpass -Credential $credential

运行时触发错误：Set-ADAccountPassword: Access is denied，其中$credential的凭据已验证有效。已知该账户拥有SELF权限，可通过CTRL+ALT+DEL自行改密，但账户禁用交互式登录，无法用RUNAS测试，需要通过PowerShell完成定期改密。

权限拒绝原因 #

1. -Reset参数的权限逻辑：使用-Reset参数时，AD会要求执行账户拥有重置密码权限，而非用户自行修改密码的权限。SELF权限仅允许用户在验证旧密码的前提下修改自己的密码，而-Reset是跳过旧密码的重置操作，此时SELF权限不生效。
2. 交互式与非交互式操作差异：CTRL+ALT+DEL改密属于交互式操作，走的是用户自行修改密码的流程（验证旧密码后触发SELF权限），但PowerShell非交互式调用搭配-Reset参数时，会触发完全不同的权限校验逻辑。

解决办法 #

方法1：移除-Reset参数，通过旧密码验证修改 #

如果能获取到旧密码，直接去掉-Reset参数，让脚本走用户自行修改密码的流程，此时SELF权限会正常生效：

# 需先将旧密码转换为安全字符串$oldpass
Set-ADAccountPassword -Identity "testuser" -OldPassword $oldpass -NewPassword $newpass -Credential $credential

方法2：为账户添加重置密码权限 #

如果必须使用-Reset参数（比如无法获取旧密码），需要在AD中给目标账户或其所在OU添加重置密码权限：

• 打开AD用户和计算机，找到目标用户或对应OU
• 右键→属性→安全→高级→添加
• 选择该账户，在权限列表中勾选重置密码，应用范围设置为该对象

方法3：使用ADSI直接调用改密方法 #

绕开AD模块的参数限制，用ADSI的SetPassword方法，该方法会触发SELF权限（需提供旧密码）：

# 替换为实际的LDAP路径
$user = [ADSI]"LDAP://CN=testuser,OU=Users,DC=yourdomain,DC=com"
# 传入明文新密码
$user.SetPassword("NewPlainTextPassword123!")
$user.SetInfo()

注意：此方法需要传入明文新密码，脚本执行身份需为该用户本身或拥有足够权限的账户，同时要确保LDAP路径准确。

内容的提问来源于stack exchange，提问作者Diogo