LDAP 查询 Active Directory 安全组中的成员身份

【问题标题】：LDAP query for membership in Active Directory Security GroupLDAP 查询 Active Directory 安全组中的成员身份
【发布时间】：2021-04-12 21:45:43
【问题描述】：

给定用户名和组，我需要运行一个简单的 LDAP 查询来查询用户名是否是 Active Directory 安全组的成员。

这是我尝试过的，但没有运行：

<LDAP://DC=subdomain,DC=domain,DC=com>;(&(objectClass=user)(sAMAccountName=myusername)(memberof=CN=Domain Admins,OU=Users,DC=subdomain,DC=domain,DC=com))

我错过了什么吗？域管理员周围的单引号？还是别的什么？

【问题讨论】：

标签： active-directory ldap

【解决方案1】：

通常，对组的 LDAP 查询需要用户和组的完全可分辨名称。

如果您知道特定的组，那么 LDAP 查询如下：

ldapsearch -H ldaps://server.domain.com:636 -x -D "adminguy@domain.com" -W -b "CN=myusername,CN=Users,DC=domain,DC=com" -s sub -a always -z 1000 "(&(sAMAccountName=myusername)(Memberof=CN=Domain Admins,OU=Users,DC=subdomain,DC=domain,DC=com))" "objectClass"

返回一个 DN 意味着用户 sAMAccountName=myusername 是该特定组的成员。

如果没有返回 DNS，则 sAMAccountName=myusername 不是该特定组的成员。

但是，这不包括任何嵌套组。

【讨论】：

你能给我举个例子吗？我访问了链接，但无法将 LDAP 查询放在一起。