使用Java修改LDAP用户属性报NoPermissionException如何解决

• 报错返回的LDAP: error code 50以及problem 4003 (INSUFF_ACCESS_RIGHTS)是Active Directory明确返回的权限不足标识，和管理员账号可正常操作的现象完全匹配，核心问题是你当前绑定LDAP上下文使用的账号，没有目标用户对象的对应属性修改权限
• 普通域账号默认没有修改其他用户属性的权限，仅管理员或被单独授予对应权限的账号可执行该操作
• 你当前代码采用先删除属性再新增属性的逻辑，部分AD配置下属性的删除权限和修改权限是分开授权的，也可能额外触发权限校验失败

权限配置（优先按最小权限原则配置，不建议直接使用域管理员账号） #

• 方式1：给绑定LDAP的服务账号单独授权：打开AD用户和计算机管理工具，找到目标OU（本例为CN=Users），右键点击属性→安全→添加你用来绑定LDAP的服务账号，给该账号授予写入department属性的权限，后续如果需要修改其他属性，按需授予对应属性的写入权限即可
• 方式2：如果业务场景是用户修改自己的个人属性，可以直接让用户绑定自己的账号执行操作，AD默认允许用户修改自己的手机号、部门等个人基础属性

代码优化 #

你当前拆分删除+新增的逻辑可以直接替换为修改属性操作，减少不必要的权限校验触发点，示例代码如下：

ModificationItem[] mods = new ModificationItem[1];
mods[0] = new ModificationItem(DirContext.REPLACE_ATTRIBUTE,
                            new BasicAttribute("department", "New Department"));
                   
ldapCtx.modifyAttributes("CN=test,CN=Users,DC=myid,DC=com,DC=local", mods);

• AD默认禁止通过普通389端口修改密码，必须使用SSL/TLS加密连接（默认端口636）才允许操作密码属性
• AD的密码属性为unicodePwd，赋值时需要先将密码用双引号包裹，再转成UTF-16LE编码的字节数组，示例代码如下：

// 密码必须用双引号包裹后再编码
String passwordWithQuote = "\"NewPassword123!\"";
byte[] pwdBytes = passwordWithQuote.getBytes("UTF-16LE");

• 如果是管理员重置其他用户密码，直接使用REPLACE_ATTRIBUTE操作unicodePwd属性即可
• 如果是用户自己修改密码，需要先执行删除旧密码操作，再执行新增新密码操作：

String oldPwdWithQuote = "\"OldPassword123!\"";
byte[] oldPwdBytes = oldPwdWithQuote.getBytes("UTF-16LE");
String newPwdWithQuote = "\"NewPassword456!\"";
byte[] newPwdBytes = newPwdWithQuote.getBytes("UTF-16LE");

ModificationItem[] pwdMods = new ModificationItem[2];
pwdMods[0] = new ModificationItem(DirContext.REMOVE_ATTRIBUTE, new BasicAttribute("unicodePwd", oldPwdBytes));
pwdMods[1] = new ModificationItem(DirContext.ADD_ATTRIBUTE, new BasicAttribute("unicodePwd", newPwdBytes));

ldapCtx.modifyAttributes(userDn, pwdMods);

内容的提问来源于stack exchange，提问作者Farhan Fida