TSQL：如何在 Active Directory 中获取用户所属的组列表

Question

我有两个查询来检索域中的所有组和所有用户，Mydomain

--; Get all groups in domain MyDomain
select  *  
from    OpenQuery(ADSI, '
    SELECT  samaccountname,mail,sn,name, cn, objectCategory
    FROM    ''LDAP://Mydomain/CN=users,DC=Mydomain,DC=com'' 
    WHERE   objectCategory=''group'' 
    ORDER BY cn
    ')

--; Get all users in domain MyDomain
select  *  
from    OpenQuery(ADSI,'
    SELECT objectCategory, cn, sn, mail, name, department,samaccountname
    FROM ''LDAP://Mydomaindomain/CN=users,DC=Mydomain,DC=com'' 
    WHERE objectCategory=''user'' 
    ORDER BY cn
    ')
--  where   samaccountname='mylogin'

我想知道的是，

如何检索MyDomain 中特定用户所属的所有组的列表？

[UPDATE] 我得到了相反的结果
给定组名，检索所有用户

select  *  
from    OpenQuery(ADSI,
    'SELECT objectCategory, cn, sn, mail, name, department
    FROM ''LDAP://Mydomain/CN=users,DC=wl-domain,DC=com'' 
    WHERE MemberOf=''cn=_____GROUPNAME_____,CN=users,DC=Mydomain,DC=com''
    ORDER BY cn' 
    )

Answer 1

下面的存储过程，用例子执行：

Get_ADGroups_ForUser 'Beau.Holland' --AccountName

注意：将 LDAP://DC=Domain,DC=local 替换为您自己的域。

CREATE PROCEDURE dbo.Get_ADGroups_ForUser
(
    @Username NVARCHAR(256) 
)
AS
BEGIN

    DECLARE @Query NVARCHAR(1024), @Path NVARCHAR(1024)

    -- Find the fully qualified CN e.g: CN=Beau Holland,OU=Users,OU=Australia,OU=NSO,OU=Company,DC=Domain,DC=local
    -- replace "LDAP://DC=Domain,DC=local" with your own domain
    SET @Query = '
        SELECT @Path = distinguishedName
        FROM OPENQUERY(ADSI, ''
            SELECT distinguishedName 
            FROM ''''LDAP://DC=Domain,DC=local''''
            WHERE 
                objectClass = ''''user'''' AND
                sAMAccountName = ''''' + @Username + '''''
        '')
    '
    EXEC SP_EXECUTESQL @Query, N'@Path NVARCHAR(1024) OUTPUT', @Path = @Path OUTPUT 

    -- get all groups for a user
    -- replace "LDAP://DC=Domain,DC=local" with your own domain
    SET @Query = '
        SELECT cn,AdsPath
        FROM OPENQUERY (ADSI, ''<LDAP://DC=Domain,DC=local>;(&(objectClass=group)(member:1.2.840.113556.1.4.1941:=' + @Path +'));cn, adspath;subtree'')'

    EXEC SP_EXECUTESQL @Query  

END
GO

Answer 2

您可以通过获取在其成员属性中包含用户的所有组，或者更好地获取用户的 LDAP 路径（distinguishedName）来实现此目的。这是完成这项工作的简单程序。

CREATE PROCEDURE dbo.GetLdapUserGroups
(
    @LdapUsername NVARCHAR(256)
)
AS
BEGIN
    DECLARE @Query NVARCHAR(1024), @Path NVARCHAR(1024)

    SET @Query = '
        SELECT @Path = distinguishedName
        FROM OPENQUERY(ADSI, ''
            SELECT distinguishedName 
            FROM ''''LDAP://DC=domain,DC=com''''
            WHERE 
                objectClass = ''''user'''' AND
                sAMAccountName = ''''' + @LdapUsername + '''''
        '')
    '
    EXEC SP_EXECUTESQL @Query, N'@Path NVARCHAR(1024) OUTPUT', @Path = @Path OUTPUT 

    SET @Query = '
        SELECT name AS LdapGroup 
        FROM OPENQUERY(ADSI,''
            SELECT name 
            FROM ''''LDAP://DC=domain,DC=com''''
            WHERE 
                objectClass=''''group'''' AND
                member=''''' + @Path + '''''
        '')
        ORDER BY name
    '
    EXEC SP_EXECUTESQL @Query

END

-- 希尔伯特

Answer 3

我认为这是基于 T-SQL 的 AD 接口的限制之一 - 您无法检索多值属性，例如具有多个值的属性（例如用户的memberOf）。

您可以检索“sn”（姓氏 = 姓氏）或“givenName”和“mail”等单值属性，但基于 SQL 的接口无法处理“memberOf”等属性分配给它们的几个值。

所以恐怕你将不得不采取另一种方式来解决这个问题 - 例如。在托管代码中查找和填充组成员身份（单独在 SQL Server 之外，或者可能作为 SQL Server 内部的 CLR 程序集）。

更新：请参阅here (MSDN Support)，了解 OPENQUERY AD 提供程序的限制：

限制
使用过程 OPENQUERY 语句拉取 来自 LDAP 服务器的信息 受到一些限制。这 可以绕过限制 在某些情况下，但在其他情况下 必须更改应用程序设计。一个 外部应用程序或 COM 对象 使用 ADSI 检索 来自 LDAP 服务器的信息和 然后使用 ADO 在 SQL 中构建一个表 或其他数据访问方法是 另一种可行的方法。

第一个限制是那个 多值属性不能 在结果集中返回给 SQL 服务器。 ADSI 将读​​取架构 来自 LDAP 服务器的信息 定义结构和语法 使用的类和属性 服务器。如果属性是 从 LDAP 服务器请求的是 在模式中定义为 多值它不能返回 OPENQUERY 语句。

Answer 4

实际上，检索用户所属的所有组的列表并不像看起来那么简单/容易。据我所知，PowerShell 和其他脚本都无法提供完全准确的结果，即使在检索 tokenGroups 属性时也是如此，因为为了进行此确定，还必须考虑特定领域的内置组的成员资格。

ActiveDirSec.org 上有一个非常有用的帖子，我认为您可能会发现它很有用 - How to enumerate the list of all Active Directory domain security groups that a user belongs to?

根据我的经验，我了解到这并不像看起来那么容易，除非您有办法确定验证输出，否则也无法知道您的脚本是否提供了正确的结果。

Answer 5

Microsoft Technet 脚本中心是一个很好的脚本资源

http://technet.microsoft.com/en-us/scriptcenter/default.aspx

这是一个声称能准确给出你想要的东西的脚本：

http://gallery.technet.microsoft.com/ScriptCenter/en-us/ab5400e2-489a-4738-9b85-508bcb5b75f8