Active Directory中User Account Control值的有效性相关技术问询

我了解你没法查看雇主的自动化预配模板，也没有AD写入权限做测试，下面针对你提出的两个问题逐一解答：

问题1：是否存在不同权限组合生成重复UAC值的情况？ #

不会出现这种情况。因为UAC值本质是32位的位掩码，微软定义的每个预权限值都是2的幂次（比如0x0001对应脚本账户、0x0002对应禁用账户、0x0008对应锁定账户）。每个预定义权限对应二进制里唯一的一个位，当你组合多个权限时，就是把对应位设为1，最终的数值是这些幂次的和。

由于二进制位的唯一性，不同的有效权限组合对应的数值必然是唯一的——比如组合0x0001 + 0x0002 = 0x0003，没有其他任何权限组合能得到这个数值，因为每个位只能是0或1，不存在重叠冲突的情况。

问题2：能否通过自动化脚本设置既非有效预定义值也非组合值的UAC值？ #

理论上，自动化脚本可以尝试设置任何32位整数值到userAccountControl属性，但实际效果要分情况看：

• 未被定义的位对应的数值：比如你提到的4（对应二进制100，也就是bit2），这个位在微软的UAC定义里是未使用的。如果你通过脚本设置这个值，AD可能会允许存储，但系统不会识别这个位的含义——也就是说，这个值不会对账户的权限或状态产生任何实际影响，纯粹是存储了一个无效的数值。
• 不符合组合逻辑的无效值：如果数值对应的位组合存在冲突（虽然微软定义的有效权限大多无冲突），AD可能会拒绝写入，或者系统在处理账户时会自动忽略无效的位，只识别那些有官方定义的位。

不过要注意：微软强烈建议只使用官方定义的预值或它们的有效组合，设置未定义的数值可能导致不可预期的行为，比如账户状态异常、权限判断出错等。

内容的提问来源于stack exchange，提问作者J Weezy