我们都知道帐号有很多属性，那么我们是不是可以通过这些属性来控制帐号呢，或者通属性来查看这些帐号当前的状态呢。答案是肯定的。那么下面我们就来介绍下帐号常用的属性。
一、常见属性
常见属性就是我们打开一个UserAccount，在“属性”页里能看到的属性，例如姓、名、显示名称、办公室号码等，这些属性是不需要使用特殊的工具打开，就可以直接进行修改的。那么具体有些属性呢？下面的列表将会详细说明，并做汉英的对比。
标签名称 | AD属性的中文显示名称 | AD属性的英文显示名称 | AD属性的栏位名称 |
一般/General | 姓 | First name | sn |
名 | Last name | givenName | |
英文缩写 | Initials | initials | |
显示名称 | Display name | displayName | |
描述 | description | description | |
办公室 | Office | physicalDeliveryOfficeName | |
电话号码 | Telephone Number | telephoneNumber | |
电子邮件 | |||
网页 | Web page | wWWHomePage | |
地址/Address | 国家/地区 | Country/region | c |
省/自治区 | State/province | st | |
县/市 | City | l | |
街道 | Street | streetAddress | |
邮政编码 | Zip/Postal Code | postalCode | |
邮政信箱 | P.O. Box | postOfficeBox | |
账户/Account | 用户登陆名 | User logon name | userPrincipalName |
用户登陆名(Windows 2000前版) | User logonname(pre-Windows 2000) | sAMAccountName | |
配置文件/Profile | 配置文件路径 | Profile path | profilePath |
登录脚本 | Logon script | scriptPath | |
主文件夹 | Home folder | homeDirectory | |
电话/Telephones | 家族电话 | Home | homePhone |
寻呼器 | Pager | pager | |
移动电话 | Mobile | mobile | |
传真 | Fax | facsimileTelephoneNumber | |
IP电话 | IP phone | ipPhone | |
注释 | Notes | info | |
组织/Organization | 职务 | Title | title |
部门 | Department | department | |
公司 | Company | company | |
经理 | Manager | manager | |
直接属下 | Direct report | directReports |
二、UserAccountControl属性
此属性必须使用特殊工具才能查看，可以使用 Ldp.exe 工具或 Adsiedit.msc 管理单元来查看和编辑这些属，在安装系统盘上Support Tools后可以使用。Ldp.exe显示的数值为十六进制，Adsiedit.msc显示的数值为十进制。
由于上述两个工具都可以直接对Active Directory编辑，应该由经验丰富的管理员来使用这些工具编辑ActiveDirectory。
当然，你也可以使用csvde.exe这类工具将帐号导出来进查看。如果需要定期的去检查这些帐号，可以将命令也BAT文件，让系统自动执行。
属性标志 | 十六进制 | 十进制 |
SCRIPT | 0x0001 | 1 |
ACCOUNTDISABLE | 0x0002 | 2 |
HOMEDIR_REQUIRED | 0x0008 | 8 |
LOCKOUT | 0x0010 | 16 |
PASSWD_NOTREQD | 0x0020 | 32 |
PASSWD_CANT_CHANGE | 0x0040 | 64 |
ENCRYPTED_TEXT_PWD_ALLOWED | 0x0080 | 128 |
TEMP_DUPLICATE_ACCOUNT | 0x0100 | 256 |
NORMAL_ACCOUNT | 0x0200 | 512 |
INTERDOMAIN_TRUST_ACCOUNT | 0x0800 | 2048 |
WORKSTATION_TRUST_ACCOUNT | 0x1000 | 4096 |
SERVER_TRUST_ACCOUNT | 0x2000 | 8192 |
DONT_EXPIRE_PASSWORD | 0x10000 | 65536 |
MNS_LOGON_ACCOUNT | 0x20000 | 131072 |
SMARTCARD_REQUIRED | 0x40000 | 262144 |
TRUSTED_FOR_DELEGATION | 0x80000 | 524288 |
NOT_DELEGATED | 0x100000 | 1048576 |
USE_DES_KEY_ONLY | 0x200000 | 2097152 |
DONT_REQ_PREAUTH | 0x400000 | 4194304 |
PASSWORD_EXPIRED | 0x800000 | 8388608 |
TRUSTED_TO_AUTH_FOR_DELEGATION | 0x1000000 | 16777216 |
属性说明：
ØSCRIPT：将运行登陆脚本。
ØACCOUNTDISABLE：禁用的用户帐。
ØHOMEDIR_REQUIRED：帐号需要主文件夹。
ØPASSWD_NOTREQD：帐号不需要密码。
ØPASSWD_CANT_CHANGE：用户不能修改密码。此值不能直接修改。
ØENCRYPTED_TEXT_PWD_ALLOWED：此帐户属于其主帐户位于另一个域中的用户。此帐户为用户提供访问该域的权限，但不提供访问信任该域的任何域的权限。有时将这种帐户称为“本地用户帐户”。
ØNORMAL_ACCOUNT - 这是表示典型用户的默认帐户类型。
ØINTERDOMAIN_TRUST_ACCOUNT - 对于信任其他域的系统域，此属性允许信任该系统域的帐户。
ØWORKSTATION_TRUST_ACCOUNT - 这是运行Microsoft Windows NT 4.0 Workstation、Microsoft WindowsNT 4.0 Server、Microsoft Windows 2000 Professional 或 Windows 2000 Server 并且属于该域的计算机的计算机帐户。
ØSERVER_TRUST_ACCOUNT - 这是属于该域的域控制器的计算机帐户。
ØDONT_EXPIRE_PASSWD - 表示在该帐户上永远不会过期的密码。
ØMNS_LOGON_ACCOUNT - 这是 MNS 登录帐户。
ØSMARTCARD_REQUIRED - 设置此标志后，将强制用户使用智能卡登录。
ØTRUSTED_FOR_DELEGATION - 设置此标志后，将信任运行服务的服务帐户（用户或计算机帐户）进行 Kerberos 委派。任何此类服务都可模拟请求该服务的客户端。若要允许服务进行Kerberos 委派，必须在服务帐户的userAccountControl 属性上设置此标志。
ØNOT_DELEGATED - 设置此标志后，即使将服务帐户设置为信任其进行 Kerberos 委派，也不会将用户的安全上下文委派给该服务。
ØUSE_DES_KEY_ONLY - (Windows 2000/Windows Server 2003) 将此用户限制为仅使用数据加密标准 (DES) 加密类型的密钥。
ØDONT_REQUIRE_PREAUTH - (Windows 2000/Windows Server 2003) 此帐户在登录时不需要进行 Kerberos 预先验证。
ØPASSWORD_EXPIRED - (Windows 2000/Windows Server 2003) 用户的密码已过期。
ØTRUSTED_TO_AUTH_FOR_DELEGATION - (Windows 2000/Windows Server 2003) 允许该帐户进行委派。这是一个与安全相关的设置。应严格控制启用此选项的帐户。此设置允许该帐户运行的服务冒充客户端的身份，并作为该用户接受网络上其他远程服务器的身份验证。
如要将某个帐号设置为禁用状态，那么只需要将此号的userAccountControl 值设置为 0x0202(0x002 + 0x0200)。在十进制中，它是 514 (2 + 512)。
