Ldapsearch 和群组以及 Active Directory

Question

我正在尝试使用 ldapsearch 获取组/用户列表。

我看到的大多数搜索表明，仅启用/活动用户的方法是使用类似于以下的查询：

(&(objectCategory=person)
(objectClass=user)
(sAMAccountType=805306368)
(!(userAccountControl:1.2.840.113556.1.4.803:=2))
(sAMAccountName=<username>))

我遇到的问题是我需要一个所有广告组及其用户的列表，这些用户在删除禁用用户后处于活动状态。

通常我见过这样的团体

(&(objectClass=group)(member=*))

此查询拉取组和用户，但拉取禁用和启用的所有用户。

我需要的是一种实现两者的方法。

到目前为止，我已经尝试组合这些命令，但事实证明它是不成功的。

(&(objectCategory=group)
(objectclass=group)
(!(isCriticalSystemObject=TRUE))
(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

有没有一种方法可以完成仅拉动启用用户的任务，同时仍然获得所有组？

Answer 1

问题是，通过查询组objectclass=group ，您只能过滤哪些组，而不是这些组的哪个成员（活跃或不活跃），因此您必须将每个组的成员（全部）与活跃用户集相交，这意味着首先要获取这些用户的另一个查询，以及更多的客户端代码来处理结果。

好消息是 AD 实现了memberOf属性，因此您可以反过来，搜索所有活跃用户并通过读取该属性列出他们所属的组。