Không thể đổi tên DN bằng thông tin xác thực người dùng miền đáng tin cậy

Tôi có hai AD trong đó tồn tại mối quan hệ tin cậy hai chiều (rừng và chuyển tiếp). Miền đáng tin cậy là trust1.com và trust2.com.

Tôi đã tạo Người dùng AD (TEST1) trong trust2.com bằng thông tin đăng nhập của quản trị viên của miền đáng tin cậy (trust1.com). Nhưng tôi không thể đổi tên tên người dùng máy tính từ TEST1 thành TEST2 bằng thông tin đăng nhập quản trị viên của trust1.com.

Tôi có thể thấy ldap_rename đang báo lỗi không đủ quyền truy cập của người dùng. Sự nhầm lẫn ở đây là người dùng có thể thêm bằng thông tin xác thực tên miền đáng tin cậy, nhưng không thể đổi tên.

Các tham số được truyền cho hàm ldap_rename là 
int ldap_rename_s( ld, dn, newrdn, newparent, deleteoldrdn, sctrls[], cctrls[] );
dn : CN=TEST1,CN=Máy tính,DC=trust2,DC=com
newrdn: cn=TEST2
cha mẹ mới: CN=Máy tính,dc=trust2,dc=com
xóaoldrdn = 1

Tôi có cần làm gì khác trước khi thực hiện thao tác này không?

Cài đặt bảo mật tiêu chuẩn cho miền Active Directory cho phép tất cả người dùng được xác thực thêm máy tính mới, trong khi thay vào đó, bạn cần phải là quản trị viên (hoặc có quyền truy cập cụ thể) để đổi tên hoặc xóa một máy tính.

Có vẻ như tài khoản quản trị viên của bạn trong trust1.com không có bất kỳ quyền quản trị nào trong trust2.com, do đó tài khoản này được coi là người dùng chuẩn: tài khoản này có thể thêm máy tính mới vào miền nhưng không thể quản lý các máy tính hiện có (bao gồm cả chính nó tạo ra).

Điều này thực sự bình thường, bởi vì một miền tin tưởng không cho phép quản trị viên từ một miền quản lý miền kia và ngược lại; để đạt được điều này, bạn sẽ phải cấp quyền quản trị viên trong trust2.com cho người dùng hoặc nhóm từ trust1.com, một cách rõ ràng (sử dụng ACL) hoặc bằng cách đặt họ vào nhóm cục bộ miền Quản trị viên.