Active Directory：使用纯LDAP的NTLM名称的用户UPN或DN？

Question

我有一个Java应用程序，可以通过使用NTLM名称（用户习惯-这是必需的）将用户登录到AD LDAP服务器来对LDAP进行身份验证。

现在，我还需要进行授权，因此需要找到用户的林唯一标识符（DN或UPN应该起作用），然后可以从中进一步查询目录。

即使AD以异常的方式构造，该方法也必须是绝对可移植的，否则，我只能执行字符串替换并搜索UPN为“ $ {ntlm-user} @ $ {ntlm-domain}。$ {配置跟踪域}”

如何使用纯LDAP执行此操作？

当前，我正在使用java.naming.directory软件包，我想继续使用它，因为当不与DN绑定而是使用NTLM名称登录时，它不会引发问题吗？

Answer 1

首先，除非您在Windows 2003 Server环境或更高版本中运行，否则AD不需要UPN字段。 Win2000域（实际或功能性 ）可能没有UPN。

sAMAccount名称是整个LDAP不同版本中可完全移植的唯一必填字段。 但是，它通常与netbios域名结合使用

（FOOBAR \\ JSKEET）

使用纯LDAP，您可以使用UPN或sAMAccount名称（如果有的话甚至是完整的DN）进行绑定（确保可以设置密封和安全标志，以便进行安全的身份验证！）。