如何在未安装Active Directory的设备上运行脚本修改AD用户密码

核心结论 #

• 无法通过将Active Directory相关组件安装到共享盘的方式实现跨设备调用。你当前使用的dsquery、dsmod命令属于**AD远程服务器管理工具（RSAT）**的组件，这类工具并非绿色软件，安装时会写入系统注册表、注册COM组件、关联系统级依赖库，仅复制程序文件到共享盘无法正常运行。

可行替代方案 #

方案1：终端安装RSAT AD工具（改造成本最低） #

当前脚本无需任何修改，只需要给需要运行脚本的设备安装对应AD管理工具即可：

• Win10/11设备：直接在「设置-应用-可选功能-添加功能」中搜索安装「RSAT：Active Directory 域服务和轻型目录服务工具」
• Windows Server设备：在服务器管理器的「添加角色和功能」向导中勾选「远程服务器管理工具-AD DS和AD LDS工具」安装即可

方案2：修改脚本逻辑，使用原生LDAP接口操作（无需终端装额外组件） #

放弃dsquery/dsmod命令，改用PowerShell调用标准LDAP接口执行密码修改操作，只要设备和AD域网络连通、操作用户拥有对应AD账号的密码修改权限，就可以直接在共享盘运行，无需本地安装AD组件。

方案3：服务端封装能力（完全无终端依赖） #

在域内部署一个简单的密码修改服务/网页接口，将密码修改逻辑全部在服务端实现，终端只需要访问对应页面提交请求即可完成密码修改，适合需要面向大量无管理权限终端的使用场景。

注意：所有方案都需要确保操作用户拥有对应AD账号的密码修改权限，请勿随意开放过高的AD操作权限，避免出现安全风险。
内容的提问来源于stack exchange，提问作者user16603959