修改AD属性前须确认三件事：查原始userAccountControl值、转二进制验证位状态、用位运算增删开关；unicodePwd禁用ADSIEdit明文编辑，仅支持PowerShell或LDAPS工具；Set-ADObject覆盖写入msDS-AllowedToDelegateTo，dsmod默认追加；adminCount=1会剥离GPO继承，需手动补权限。
ADSI编辑器改userAccountControl前必须确认的三件事
直接改useraccountcontrol值可能让账户瞬间不可登录，不是权限不够，而是位掩码逻辑翻车。它不是普通整数——每个比特位代表一个开关（比如0x2是禁用账户，0x10是密码永不过期），叠加写错就会触发意外状态。
实操建议：
- 先用
Get-ADUser -Identity alice -Properties userAccountControl查原始值，别凭记忆硬写 - 用
[System.Convert]::ToString($val, 2)转二进制看各位状态，比心算十六进制靠谱 - 禁用账户时，别直接赋值
514（= 512+2），应保留原有位（如已有“密码不需过期”0x10000），只置位/清位：用$new = $old -bor 0x2（启用禁用）或$new = $old -band -bnot 0x2（取消禁用）
用ADSIEdit.msc修改unicodePwd必然失败的原因
unicodePwd根本不能通过ADSIEdit.msc图形界面直接编辑——它被Active Directory策略强制拒绝明文写入，双击字段只会灰掉，点确定报0x80072035（不支持的操作）。这不是权限问题，是协议层拦截。
正确路径只有两条：
- PowerShell走
Set-ADAccountPassword（底层调用LDAP over SSL + UTF-16编码+base64封装） - LDIFDE或LDAP工具（如Apache Directory Studio）连接到
ldaps://dc01.example.com:636，用changetype: modify+replace: unicodePwd，且值必须是双引号包裹、UTF-16LE编码、base64转义后的字节序列 - 绝对不要尝试在
ADSIEdit.msc里粘贴明文密码或Base64字符串——它会静默忽略或报错
批量改msDS-AllowedToDelegateTo时Set-ADObject和dsmod的行为差异
这个属性控制约束性委派目标服务，但Set-ADObject默认是“覆盖写入”，而dsmod（尤其老版本）默认是“追加”。同一脚本里混用，结果可能完全相反。
关键区别：
-
Set-ADObject -Replace @{msDS-AllowedToDelegateTo=@("HTTP/app01","HTTP/app02")}→ 清空旧值，只留这两个 -
dsmod user "CN=alice,CN=Users,DC=ex,DC=com" -d "HTTP/app01" -d "HTTP/app02"→ 在原列表末尾追加（如果原来有HTTP/db01，最终变成三个） - PowerShell若要追加，得先
Get-ADObject -Property msDS-AllowedToDelegateTo取旧数组，再+=新项，最后-Replace - 所有操作必须在域控制器上以Domain Admin身份执行，且目标账户
userAccountControl需含TRUSTED_FOR_DELEGATION（0x80000）或TRUSTED_TO_AUTHENTICATE_FOR_DELEGATION（0x1000000）位，否则写入成功但无效
修改adminCount后OU策略不生效的隐藏原因
adminCount被设为1时，AD会自动剥离该账户继承的所有组策略（GPO），并移出Protected Users组的隐式保护。这不是bug，是安全机制——系统认定它是高权限账户，不再信任默认策略链。
所以改完adminCount，常见现象是：密码策略变宽松、登录脚本不执行、甚至BitLocker恢复密钥不上传。修复不是重设adminCount，而是手动补策略：
- 检查该账户所在OU是否启用了
Block Inheritance（gpresult /r可验证） - 若需保留GPO，必须显式用
Set-GPPermission给该账户或其所属安全组赋予GpoApply权限 -
adminCount=1状态下，无法通过常规方式重置该属性——需用dsmod或LDP.exe以SeRestorePrivilege权限执行，普通域管理员也不行
真正麻烦的从来不是怎么改属性，而是改完之后谁还在管它继承的策略、谁还记得它已经被系统悄悄“特殊对待”了。
