显示字段 msds-memberOfTransitive 和 msds-memberTransitive 的值时出错

Question

我们正在尝试从对 Microsoft Active Directory 2012 服务器进行的 LDAP 查询中返回所有用户信息。

首先，我们从架构中获取所有属性（包括 msds-memberOfTransitive 和 msds-memberTransitive），然后进行请求所有属性的查询。

我们已将此问题缩小到使用以下参数执行 LDAP 搜索：
- 范围：下一级（如果容器内有元素）或子树
- msds-memberOfTransitive 或 msds-memberTransitive 属性被请求

重现错误的示例查询：

ldapsearch -D "CN=Administrator,CN=Users,DC=my,DC=dom" -W -b "CN=Users,DC=my,DC=dom" -h 10.0.1.100 -p 389 msds-memberTransitive    

避免错误的示例查询：

ldapsearch -D "CN=Administrator,CN=Users,DC=my,DC=dom" -W -b "CN=Administrator,CN=Users,DC=my,DC=dom" -h 10.0.1.100 -p 389 msds-memberTransitive -s one

我认为这是避免过度计算“传递”属性的某种机制，但我没有发现任何东西。

我如何进行此搜索（通过从搜索中删除这些属性）？

Answer 1

看起来msds-memberOfTransitive和msds-memberTransitive有 searchFlags: 2048 设置的搜索标志，将搜索限制为基本范围。

如果我们查看msds-memberOfTransitive ，我们会看到设置 searchFlags: fBASEONLY。 查看 Search Flags ，我们看到：

(fBASEONLY, 0x00000800)：指定范围不限于单个对象的搜索操作不返回该属性。 否则将返回设置了此搜索标志的属性的读取操作会失败，并显示操作错误 / ERROR_DS_NON_BASE_SEARCH 。

（对于msds-memberTransitive也是如此）所以这些属性只会在搜索范围为 BASE 时返回。

解决此条件的唯一方法是使用其中一个属性循环遍历每个结果，并进行第二次搜索，这将是条目的 baseDN 和 BASE 的范围。