запрос ldap для членов группы

Я пытаюсь сделать запрос LDAP, чтобы получить список всех моих групп / участников. Я не могу понять, как мне это сделать. Все мои попытки были безуспешными.

Мое "дерево AD": mydomain.local / Mybusiness / Distribution Groups / вот мои группы

Я пробовал вот так:

(objectCategory=user)
(memberOf=CN=Distribution Groups,OU=Mybusiness,DC=mydomain.local,DC=com)

Я признателен, если бы кто-нибудь помог мне написать запрос ldap, который дает список с моими группами и членами этих групп.


ldap
person Holian    schedule 13.05.2010    source источник

Ответы (3)


arrow_upward
14
arrow_downward

Запрос должен быть:

(&(objectCategory=user)(memberOf=CN=Distribution Groups,OU=Mybusiness,DC=mydomain.local,DC=com))

Вы пропустили & и ()

person 53iScott    schedule 19.04.2012
comment
Если я понимаю, этот запрос покажет всех участников, у которых есть то же domain, что и группа. Что, если я хочу видеть всех участников группы, независимо от domain? - person Kevin Meredith; 03.04.2013
comment
@juan mellado Боюсь, я тебя не поймал. Группы должны создаваться под доменом. вот пример: (& (objectCategory = user) (memberOf = CN = admins, DC = root, DC = com)) - этот запрос покажет всех участников в группах admins, CN = admins, DC = root, DC = com - DN группы. - person 53iScott; 08.04.2013

arrow_upward
11
arrow_downward

Active Directory не сохраняет членство в группах для пользовательских объектов. Он хранит только список участников группы. Инструменты показывают членство в группах для пользовательских объектов, выполняя для них запросы.

Как насчет:

(& (objectClass = группа) (member = cn = my, ou = full, dc = domain))

(Вы также забыли бит (&) в своем примере в вопросе).

person geoffc    schedule 13.05.2010
comment
Я не знаком с AD и LDAP. Я пытаюсь сделать этот запрос, как вы упомянули, но результат пуст. что значит ou = полный? - person Holian; 13.05.2010
comment
Замените шутливое значение cn = my, ou = full, dc = domain на НАСТОЯЩИЙ DN интересующего пользователя в вашей системе. My.Full.Domain в точечной нотации. - person geoffc; 13.05.2010

arrow_upward
4
arrow_downward

Хороший способ получить всех участников из группы - сделать DN группы в качестве searchDN и передать атрибут «member» в качестве атрибута, чтобы попасть в функцию поиска. Теперь всех членов группы можно найти, просмотрев значения атрибутов, возвращаемые поиском. Фильтр можно сделать универсальным, например (objectclass = *).

person Ashish    schedule 25.01.2013
comment
Чтобы уточнить комментарий jwilleke, по умолчанию AD не будет перечислять более 1500 (1000 в старых версиях) компонентов многозначного атрибута, такого как member, однако, конечно, многие группы AD имеют гораздо больше участников, чем это. AD поддерживает ранжированное извлечение для извлечения всех атрибутов из групп AD с ›1500 (или 1000) участников. - person sigint; 08.06.2016