ldp.exe 是 Windows Server 自带的原生 LDAP 调试工具，仍有效可用，但不支持 SSL/TLS 证书验证、Kerberos 票据续订和 MFA；连接失败需检查 FQDN、端口、权限及 Schema 规则。
什么是 ldp.exe，它还能用吗？
ldp.exe 是 windows server 自带的轻量级 ldap 浏览与调试工具，位于 %systemroot%\system32\ 下。它不依赖 .net 或 powershell，纯原生 win32 gui 工具，适合快速连接、浏览、读写 ad 对象——尤其在域控制器本地或远程调试 ldap 绑定失败、权限不足、schema 限制等底层问题时，比 get-adobject 或 dsquery 更透明。
但它不是“过时就被弃用”的工具：只要 AD 支持 LDAP v3（所有现代域都支持），ldp.exe 就依然有效。不过要注意：它不验证 SSL/TLS 证书，不自动处理 Kerberos 票据续订，也不支持现代 MFA 认证流程。如果域启用了 LDAPS 强制策略或禁用了明文 LDAP（389 端口），直接双击运行后连不上，别急着换工具，先看下一步。
连接 AD 时常见报错及对应操作
启动 ldp.exe 后，点击 Connection → Connect…，填入服务器名和端口。典型失败场景如下：
-
ldap_connect() failed：检查目标是否为可解析的 FQDN（如dc01.contoso.com），而非 NetBIOS 名；确认防火墙放行 TCP 389（LDAP）或 636（LDAPS）；若用 IP 地址，需确保 DNS 反向解析匹配（否则 LDAPS 会因证书 CN 不符拒绝连接） -
0x31 (Insufficient access rights)：说明已成功建立连接，但绑定账户无权执行后续操作。此时应点 Connection → Bind…，改用具有足够权限的账户（如 Domain Admins 成员），勾选 Simple bind 并输入凭据；避免使用空密码或仅输用户名不点 Bind -
0x51 (Server is unavailable)：AD 域服务未运行，或目标主机非 DC；也可尝试换端口（如 3268 全局编录端口）测试 GC 是否可达
修改对象属性前必须确认的三件事
在 ldp.exe 中修改属性（Modify → Modify…）看似简单，但极易因忽略前提导致操作静默失败或违反 Schema 规则：
- 对象必须已加载到右侧面板中：先用 View → Tree… 展开目录树，双击目标 OU/用户，再点 View → Entry… 加载其完整属性列表；否则 Modify 对话框里看不到任何可编辑字段
-
属性名必须拼写完全准确且区分大小写：比如改邮箱要填
mail，不是email或Mail；批量修改时若复制粘贴属性名，注意不要带不可见空格或全角字符 -
值类型必须匹配 Schema 定义：例如
userAccountControl是整数（如设为514表示禁用账户），不能填字符串"514"；而description是字符串，填数字会报0x57 (Invalid parameter)
用 Modify 修改属性的实际操作要点
点击 Modify → Modify… 后，弹出对话框需逐行填写操作指令。每行格式为：operation: attribute_name + 换行 + - 或 value（取决于操作类型）。常用组合如下：
-
替换单个字符串属性：
replace: description→ 换行 →My new description→ 换行 →- -
追加一个 memberOf 值（注意：memberOf 是只读计算属性，实际应改
member属性）：add: member→ 换行 →CN=TestGroup,CN=Users,DC=contoso,DC=com→ 换行 →- -
删除某个 multi-valued 属性的特定值：
delete: proxyAddresses→ 换行 →SMTP:test@old.com→ 换行 →- -
清空整个 multi-valued 属性：
replace: proxyAddresses→ 换行 →-（即不填值，直接跟减号）
提交前务必勾选 Extended Request（否则部分操作如删除值会被忽略）；若提示 0x4 (Size limit exceeded)，说明返回结果超限，可在 Options → Network Options… 中调高 Max Receive Size。
真正麻烦的是那些需要二进制或 Base64 编码的属性（如 thumbnailPhoto），ldp.exe 不提供编码界面，得先用 PowerShell 或在线工具转好再粘贴——这时候就该考虑换 Set-ADUser -Replace @{thumbnailPhoto=...} 了。
