LDAP 查询返回指定 OU 中的所有组

Question

我正在尝试更新当前应用于 SharePoint (WSS) 中的人员选取器的筛选器。

我正在使用 stsadm 设置过滤器。

类似...

stsadm -o setproperty -url http://webserver:39770 -pn peoplepicker-searchadcustomfilter -pv "(&(userAccountControl=512)(objectCategory=person)(objectClass=user)(memberOf=cn=All Users Group,ou=E-Mail Distribution Lists,dc=domain,dc=com,dc=au))"

我知道如何执行此操作，但想更改 LDAP 查询。这是我需要你帮助的地方。

我想查询 AD 中的一个 OU 并返回其中的所有组。

作为后备，我可以将 OU 中的所有组放入他们自己的组中，然后使用以下查询查询该组...

(&(memberOf=CN=WSSPeoplePickerGroup,OU=Groups,DC=domain,DC=com,DC=au)(objectCategory=group))

...但如果可以的话，我想直接查询 OU。它已经变成了我现在还不想放手的骨头，所以希望有比我更聪明的人在那里。

我认为我需要前往的地方类似于我找到的以下查询。据我了解，这被称为可扩展搜索匹配，他们正在过滤 OU 的“名称”，但我无法看到如何将其应用于我想要的内容（尽管进行了多次尝试我已经做了），如果这确实是我应该采取的方法。

(&(objectClass=group)(&(ou:dn:=Chicago)(!(ou:dn:=Wrigleyville))))

TIA

Answer 1

如果您只想搜索特定的 OU。为什么不只按 DistinguishedName 进行搜索？

在你的情况下，可能是这样的。

(distinguishedName=*ou=E-Mail Distribution Lists,dc=domain,dc=com,dc=au)

这相当于搜索 OU E-Mail Distribution。

而且 userAccountControl=512 并不意味着所有启用的用户。它只是搜索普通帐户。更好的方法是搜索是否设置了 Disabled 标志。

使用它而不是 userAccountControl=512 来查找所有未被禁用的用户。

(!(userAccountControl:1.2.840.113556.1.4.803:=2))

仅供参考。