LDAP/AD-Fehleranalyse mit ldp.exe

Maximilian — Mon, 29 Sep 2025 17:24:53 +0000

ldp.exe ist ein GUI-basiertes LDAP-Diagnose- und Verwaltungstool, das in Windows Server enthalten ist (Teil der RSAT-Tools). Es dient dazu, mit Active Directory und anderen LDAP-Verzeichnissen zu interagieren – visuell, ohne eigene Skripte schreiben zu müssen.

Mit ldp.exe können Administratoren:

Verbindungen zu Domain Controllern herstellen (LDAP oder LDAPS), LDAP-Pfade überprüfen
Authentifizierte Binds durchführen
Verzeichnisobjekte durchsuchen, filtern, ändern oder löschen, Filter vor dem Einsatz testen
Attributwerte von Objekten anzeigen oder bearbeiten
Diagnose- und Troubleshooting-Aufgaben erledigen (z. B. Replikation, Berechtigungen, Deleted Objects)

Damit eignet es sich besonders für Fehleranalyse, Tests und forensische Aufgaben in Active-Directory-Umgebungen. Es kann bspw. bei Microsoft hier heruntergeladen werden.

Einsatz von ldp.exe

Kategorie	Beschreibung	Beispiel
Connection / Bind	Verbindung zu LDAP-Server herstellen (DC-Name, Port, SSL) und Benutzeranmeldung (Simple/SSPI/mit Credentials)	Verbindungstest zu `dc01.contoso.local`
Tree View	Anzeige der gesamten AD-Struktur (Container, OUs, Objekte)	OU=Users aufklappen und User-Objekte ansehen
Search	Komplexe LDAP-Suchen mit Filtern und Base-DN durchführen	`(&(objectCategory=person)(objectClass=user))`
Modify / Add / Delete	Attribute von Objekten ändern oder neue Objekte hinzufügen/löschen	`mail`-Attribut für Benutzer setzen
Deleted Objects	Zugriff auf „Tombstoned“ Objekte (falls Berechtigung vorhanden)	Gelöschten User im Container `CN=Deleted Objects` anzeigen
Extended Controls	Zusätzliche LDAP-Controls wie „Return Deleted Objects“ oder „Show Recycled“ aktivieren	Vorbereiten einer AD-Wiederherstellung
Debug / Logging	Anzeigen von Protokollen und Debug-Informationen für LDAP-Kommunikation	Fehleranalyse bei Bind-Problemen

LDP einrichten und mit Nutzerdaten verbinden

Menüleiste: Connection → Connect
Gib den Domain-Controller-Namen ein.
- Bei LDAPS: SSL aktivieren
Bestätigen mit OK.
Optional:
- Menüleiste: Connection → Bind
- Typ Bind with credentials auswählen
- Benutzername, Passwort und Domain eingeben (muss die Rechte haben)
- Bestätigen mit OK.

Active Directory-Struktur durchsuchen

Menüleiste: View → Tree
Distinguished Name angeben und bestätigen mit OK.
Links im Baum kann man jetzt Container (CN) und Organisationseinheiten (OU) aufklappen

Suchen mit Filtern

Options → Search → Display Results deaktivieren → OK
Browser → Search
Base DN: z. B. DC=beispiel,DC=local
Run klicken → Die Anzahl der gefundenen Objekte wird angezeigt.

Quellen

Der Beitrag LDAP/AD-Fehleranalyse mit ldp.exe erschien zuerst auf Maximilian Krieg.

Active Directory – Delegierte Berechtigungen sind nicht verfügbar und Vererbung wird automatisch deaktiviert

Maximilian — Sun, 02 Nov 2014 08:37:00 +0000

Das Active Directory von Microsoft ist der Verzeichnisdienst einer Windows-Domäne. Hier lassen sich granulare Zugriffsrechte für Benutzer, Gruppen, Computer, Dienste, Server, Dateien und andere Geräte für das Netzwerk festlegen. Dieser Funktionsumfang wird durch Vererbungen und Delegierungen erheblich erweitert. In bestimmten Fällen greift die Vererbung jedoch nicht mehr.

Symptom

Ein Benutzer wurde aus der Gruppe der Domänenadministrator entfernt und wieder zu einem regulären Benutzer herabgestuft. Er wird einer speziellen Gruppe als Mitglied hinzugefügt, die über eine Delegierung ähnliche Rechte erlangen soll. Jedoch werden die Parameter der Gruppe nicht korrekt auf das Objekt des Benutzers übertragen bzw. angewandt.

Problem

Bei genauerem Hinsehen wird ersichtlich, dass die Vererbung seitens der Gruppen zwar korrekt gesetzt ist, aber der Benutzer die Erbschaft von darüberliegenden Objekten deaktiviert hat. Dies kommt daher, dass für bestimmte Konten und Gruppen in einem festen Intervall die Vererbung deaktiviert wird. Die Gruppe der Domänenadministratoren ist eine solche Gruppe. Die deaktivierte Eigenschaft bleibt dann auch beim Verlassen der Gruppe erhalten und wird nicht durch die Aufnahme in eine neue Gruppe aktiviert.

Lösungsstrategie

Durch manuelles Aktivieren der Erbschaft vom Benutzerobjekt kann die Vererbung der Gruppenrechte korrekt durchgeführt werden.

Der Beitrag Active Directory – Delegierte Berechtigungen sind nicht verfügbar und Vererbung wird automatisch deaktiviert erschien zuerst auf Maximilian Krieg.

active directory Archive - Maximilian Krieg