python-ldap 创建组

Question

我正在尝试通过一个Python脚本使用python-ldap在AD（活动目录）中创建一个安全组。

我可以成功绑定我的用户，这个用户有足够的权限来执行这个操作（我通过ADExplorer图形界面确认过可以创建这个组），而且我也能搜索到域，但在添加新组的时候却失败了，错误信息是：

ldap.INSUFFICIENT_ACCESS: {'info': '00000005: SecErr: DSID-03152492, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0\n', 'desc': '权限不足'}

这是我的脚本：

import ldap
import ldap.modlist as modlist

server  = 'hidden'
user_dn = 'hidden'
user_pw = 'hidden'

fs_dn = 'ou=fssecuritygroups,ou=tkogroups,ou=tokyo,dc=unit,dc=xyz,dc=intra'


l = ldap.initialize("ldaps://"+server)
l.bind_s(user_dn, user_pw)

groupname = 'mytestfs'

attr = {}
attr['objectClass'] = ['group','top']
attr['groupType'] = '-2147483646'
attr['cn'] = groupname
attr['name'] = groupname
attr['sAMAccountName'] = groupname

ldif = modlist.addModlist(attr)
print(l.add_s(fs_dn,ldif))

Answer 1

我在尝试在一个我没有权限添加的地方添加新对象时遇到了同样的错误。

比如说，我可以访问ldap服务器（绑定是成功的），我可以在 ou=germany,ou=groups,dc=ACME 下添加组对象，但我却不能在 ou=groups,dc=ACME 下添加组对象。

也许你可以检查一下ldap的限制或者类似的东西。