JAVA通过SSL证书创建MS AD账户及设置密码-阿里云开发者社区

近期由于工作需要整理一下自动化的东西，因为公司去年上线了OA，所以公司的入职系统会提交用户的信息到IT部门，最早的做法是入职到了，IT部门收集用户信息在AD中创建对应的用户信息，所以为了提高管理员的工作效率，所以准备实施自动创建AD账户，当OA流程到IT人员审批节点后，IT人员审批后根据人员信息自动创建AD账户，所以整理了一些JAVA创建AD人员信息的信息，但是我们需要注意点的是，对于JAVA语言操作MS AD的一些普通操作是不需要SSL的，但是对于用户密码的重置操作必须使用SSL，当然之前看网上有说可以跳过的，但是没有试验成功，所以还是按照标准的配置来通过SSL对用户的AD密码进行操作，废话不多说了，今天我们主要介绍使用JAVA通过SSL方式创建MS AD账户，因为要对创建的用户设置密码，所以需要使用SSL证书，既然需要SSL证书，目的就是为了让JAVA信任LDAP，所以我们需要从AD中导出受信任的证书，然后导入到JAVA运行环境中的JRE下的cacert证书文件中。我们既然说到了OA，其实OA中就可以通过系统自带的功能进行证书申请及证书导入，这样比较简单；当然如果没有OA环境的，我们可以通过JAVA运行环境中的JDK中的keytool进行证书导入工作，我们下面都会介绍到；

我们首先使用OA中的功能进行证书导入；我们OA中的证书路劲在/OAFS/WEAVER/jdk1.8.0_101/jre/lib/security/cacerts

确认OA环境中的JDK路劲后，我们接下来就是证书申请及导入了；

我们访问OA的地址，然后路劲增加/integration/ldapcert.jsp路劲访问即可；如果没有后面的JAVA文件可以找OA供应商要；或者在附件下载；

我们首先下载附件中的文件，下载后，附件中有三个文件；classbean、

我们首先进入classbean文件夹内的内容拷贝到对应的OA服务器的对应目录；

ecology\classbean\weaver\ldap

2.然后将解压文件中的文件夹integration文件中的以下文件拷贝到OA的对应的服务器目录下：

ecology\integration

3.因为解压后有三个文件夹，第三个文件夹src为源码，我们就不用管了

按照以上方法走完后，我们就可以通过以下链接来配置了

http://192.168.6.101/integration/ldapcert.jsp

访问后，我们再LDAP IP输入环境的AD DC服务器地址，系统会默认填写LDAP端口636，及证书路劲，这些信息系统会自动补全；我们需要手动设置证书密码，一般我们都会设置成changeit，设置好这些信息后，我们导入证书，会提示下面的导入信息；

导入完成

然后我们需要在证书路劲下载证书到本地的JRE环境进行测试了

接着我们看看第二种方式的证书申请；

我们需要从DC上导入域的根证书

mmc---增加---证书---计算机---个人---选择根证书----导出

不需要导出私钥

使用默认的DRE编码

保存

我们按照同样的方式，将另外一张也导出来

然后我们需要在本地的JDK环境中导入该根证书到JDK环境中的证书中；

我本地的JDK环境路劲D:\Development_Environment\java\jdk\jre\lib\security

然后运行命令将刚才导出的根证书导入到该路劲的cacert证书文件中；

我们首先要cd到jdk路劲

 
        cd 
        D:\Development_Environment\java\jdk\jre\bin

然后将刚才导出的根证书保存到D盘下，通过以下命令导入

 
        keytool keytool -
        import 
        -keystore    D:\Development_Environment\java\jdk\jre\lib\security\cacerts -storepass changeit -keypass changeit -
        alias 
        CA -
        file 
        d:\ADroot.cer

输入Y受信任

然后我们就可以通过

接着就是看看ADDS环境了

换进准备好，我们就可以上代码了；

我们设置好证书路劲，及LDAP验证信息，及需要注册的用户名

账户注册成功

上代码：

 
        package 
        com.ixmsoft.oa.util;    
       
        import 
        java.util.Properties;    
       
        import 
        javax.naming.*;    
       
        import 
        javax.naming.ldap.*;    
       
        import 
        javax.naming.directory.*;    
       
        /**  
       
        * @author Keven Chen   
       
        * @version $Revision 1.0 $   
       
        *    
       
        */  
       
        public 
        class 
        AddAdUser {    
       
        private 
        static 
        final 
        String SUN_JNDI_PROVIDER = 
        "com.sun.jndi.ldap.LdapCtxFactory"
        ;    
       
        public 
        static 
        void 
        main(String[] args) 
        throws 
        Exception {    
       
        String keystore = 
        "D:\\Development_Environment\\java\\jdk\\jre\\lib\\security\\cacerts"
        ;    
       
        System.setProperty(
        "javax.net.ssl.trustStore"
        , keystore);    
       
        Properties env = 
        new 
        Properties();    
       
        env.put(Context.INITIAL_CONTEXT_FACTORY, SUN_JNDI_PROVIDER);
        // java.naming.factory.initial    
       
        env.put(Context.PROVIDER_URL, 
        "ldap://192.168.5.20:636"
        );// java.naming.provider.url    
       
        env.put(Context.SECURITY_AUTHENTICATION, 
        "simple"
        );
        // java.naming.security.authentication    
       
        env.put(Context.SECURITY_PRINCIPAL,    
       
        "cn=Administrator,cn=Users,dc=ixmsoft,dc=com"
        );
        // java.naming.security.principal    
       
        env.put(Context.SECURITY_CREDENTIALS, 
        "123"
        );
        // java.naming.security.credentials    
       
        env.put(Context.SECURITY_PROTOCOL, 
        "ssl"
        );    
       
        String userName = 
        "CN=gaowenlong,OU=IXM Adm,OU=IMXSOFT Users,DC=ixmsoft,DC=com"
        ;    
       
        String groupName = 
        "CN=Domain Admins,CN=Users,DC=ixmsoft,DC=com"
        ;    
       
        LdapContext ctx = 
        new 
        InitialLdapContext(env, 
        null
        );    
       
        // Create attributes to be associated with the new user    
       
        Attributes attrs = 
        new 
        BasicAttributes(
        true
        );    
       
        // These are the mandatory attributes for a user object    
       
        // Note that Win2K3 will automagically create a random    
       
        // samAccountName if it is not present. (Win2K does not)    
       
        attrs.put(
        "objectClass"
        , 
        "user"
        );    
       
        attrs.put(
        "sAMAccountName"
        , 
        "gaowenlong"
        );    
       
        attrs.put(
        "cn"
        , 
        "gaowenlong"
        );    
       
        // These are some optional (but useful) attributes    
       
        attrs.put(
        "sn"
        , 
        "gaowenlong"
        );    
       
        attrs.put(
        "displayName"
        , 
        "gaowenlong"
        );    
       
        attrs.put(
        "description"
        , 
        "gaowenlong"
        );    
       
        attrs.put(
        "userPrincipalName"
        , 
        "gaowenlong@ixmsoft.com"
        );    
       
        attrs.put(
        "mail"
        , 
        "gaowenlong@ixmsoft.com"
        );    
       
        attrs.put(
        "telephoneNumber"
        , 
        "1234568999"
        );    
       
        // some useful constants from lmaccess.h    
       
        int 
        UF_ACCOUNTDISABLE = 
        0x0002
        ;  
        //禁用账户  
       
        int 
        UF_PASSWD_NOTREQD = 
        0x0020
        ;   
        //用户不能修改密码 
       
        int 
        UF_PASSWD_CANT_CHANGE = 
        0x0040
        ;    
       
        int 
        UF_NORMAL_ACCOUNT = 
        0x0200
        ;   
        //正常用户 
       
        int 
        UF_DONT_EXPIRE_PASSWD = 
        0x10000
        ;   
        //密码永不过期 
       
        int 
        UF_PASSWORD_EXPIRED = 
        0x800000
        ;   
        //密码已经过期 
       
        // Note that you need to create the user object before you can    
       
        // set the password. Therefore as the user is created with no    
       
        // password, user AccountControl must be set to the following    
       
        // otherwise the Win2K3 password filter will return error 53    
       
        // unwilling to perform.    
       
        attrs.put(
        "userAccountControl"
        , Integer.toString(UF_NORMAL_ACCOUNT    
       
        + UF_PASSWD_NOTREQD + UF_PASSWORD_EXPIRED + UF_ACCOUNTDISABLE));    
       
        // Create the context    
       
        Context result = ctx.createSubcontext(userName, attrs);    
       
        System.out.println(
        "Created disabled account for: " 
        + userName);    
       
        ModificationItem[] mods = 
        new 
        ModificationItem[
        2
        ];    
       
        // Replace the "unicdodePwd" attribute with a new value    
       
        // Password must be both Unicode and a quoted string    
       
        String newQuotedPassword = 
        "\"Password2000\""
        ;    
       
        byte
        [] newUnicodePassword = newQuotedPassword.getBytes(
        "UTF-16LE"
        );    
       
        mods[
        0
        ] = 
        new 
        ModificationItem(DirContext.REPLACE_ATTRIBUTE,    
       
        new 
        BasicAttribute(
        "unicodePwd"
        , newUnicodePassword));    
       
        mods[
        1
        ] = 
        new 
        ModificationItem(DirContext.REPLACE_ATTRIBUTE,    
       
        new 
        BasicAttribute(
        "userAccountControl"
        , Integer    
       
        .toString(UF_NORMAL_ACCOUNT + UF_PASSWORD_EXPIRED)));    
       
        // Perform the update    
       
        ctx.modifyAttributes(userName, mods);    
       
        System.out.println(
        "Set password & updated userccountControl"
        );    
       
        // now add the user to a group.    
       
        try 
        {    
       
        ModificationItem member[] = 
        new 
        ModificationItem[
        1
        ];    
       
        member[
        0
        ] = 
        new 
        ModificationItem(DirContext.ADD_ATTRIBUTE,    
       
        new 
        BasicAttribute(
        "member"
        , userName));    
       
        ctx.modifyAttributes(groupName, member);    
       
        System.out.println(
        "Added user to group: " 
        + groupName);    
       
        } 
        catch 
        (NamingException e) {    
       
        System.err.println(
        "Problem adding user to group: " 
        + e);    
       
        }    
       
        // Could have put tls.close() prior to the group modification    
       
        // but it seems to screw up the connection or context ?    
       
        ctx.close();    
       
        System.out.println(
        "Successfully created User: " 
        + userName);    
       
        }    
       
        }