python ldap创建组

我正在尝试使用python ldap从python脚本在AD中创建一个安全组

我能够绑定我的用户，该用户有足够的权限执行此类操作（通过从ADExplorer gui客户端创建组来确认）并搜索域，但在添加新组时失败：

ldap.U访问不足：{'info'：'00000005:SecErr:DSID-03152492，问题4003（输入访问权限），数据0\n'，'desc'：'访问不足'}

以下是脚本：

import ldap
import ldap.modlist as modlist

server  = 'hidden'
user_dn = 'hidden'
user_pw = 'hidden'

fs_dn = 'ou=fssecuritygroups,ou=tkogroups,ou=tokyo,dc=unit,dc=xyz,dc=intra'


l = ldap.initialize("ldaps://"+server)
l.bind_s(user_dn, user_pw)

groupname = 'mytestfs'

attr = {}
attr['objectClass'] = ['group','top']
attr['groupType'] = '-2147483646'
attr['cn'] = groupname
attr['name'] = groupname
attr['sAMAccountName'] = groupname

ldif = modlist.addModlist(attr)
print(l.add_s(fs_dn,ldif))

---

当我尝试在不允许添加的dn下添加新对象时，我遇到了相同的错误

例如，我拥有对ldap服务器的访问权限（绑定工作），我可以在

ou=germany，ou=groups，dc=ACME

下添加组对象，但不允许在

ou=groups，dc=ACME

下添加组对象

也许您可以签出ldap等的约束