在Active Directory组中查找用户的语法

Question

我正在尝试检查用户的Active Directory组。 我正在使用一个我知道在那里的测试用户，而我正在尝试正确使用语法。

我正在搜索我们的整个域，而我正在使用的过滤器是这样的：

(&(objectCategory=user)(CN=windowslogin)(memberof=CN=/#ITTest,OU=Security,OU=Groups,OU=FIRM,DC=our,DC=place,DC=com))

我认为这很麻烦，因为如果我删除整个memberof子句，而只是搜索整个AD，它就会找到用户。 当我尝试添加子句以搜索特定组时，它只会找不到它们。

我尝试过的其他方法：

• 在＃之前列出带有＆且不带有转义符的列表项
• 在组名之后仅包含组OU和DC
• 将OU添加到查询的用户名部分
• 大吼大叫

到目前为止没有运气。

我正在使用一种专用工具来执行查询，但是我希望它使用的语法与常规命令行足够接近，以便有人可以指出我的错误。 我也是Active Directory的完全新手，因此可能有不止一件事。

我知道这个问题很模糊，但是如果有人可以提供任何见解，我将非常感激。

Answer 1

您应该检出System.DirectoryServices.AccountManagement （S.DS.AM）命名空间。

基本上，您可以定义域上下文并轻松找到AD中的用户和/或组：

// set up domain context - without further parameters, it defaults to the current
// domain you're logged in to, and to the whole AD tree
using (PrincipalContext ctx = new PrincipalContext(ContextType.Domain))
{
    // find the group
    GroupPrincipal group = GroupPrincipal.FindByIdentity(ctx, "YourGroupName") as GroupPrincipal;

    if(group != null)
    {
        // get the group members
        PrincipalSearchResult<Principal> members = group.GetMembers();

        // now you just need to find the user you're looking for
        UserPrincipal user = members.ToList().OfType<UserPrincipal>().FirstOrDefault(u => u.DistinguishedName == "CN=YourUserName");

        if (user != null)
        {
            // do something with user
        }
    }
}

新的S.DS.AM使得与AD中的用户和组玩起来非常容易！

在此处了解更多信息：

• System.DirectoryServices.AccountManagement上的MSDN文档

Answer 2

看来，您正在寻找以下过滤器：

(memberof:1.2.840.113556.1.4.1941:=CN=\#ITTest,OU=Security,OU=Groups,OU=FIRM,DC=our,DC=place,DC=com)

（用反斜杠替换斜杠）

请参阅搜索过滤器语法

这将向您显示#ITTest组和所有嵌套组的所有成员。 但是，此方法有一些缺点，例如，在企业环境中，可能会导致一些性能问题

如果您不需要嵌套组搜索，则仍然可以使用memberOf：，例如您提供的示例