我需要从特定类别中获取所有用户及其组。
用户示例:
user | memberof
user1 | CN=group_1,OU=Groupes,OU=CR 1,DC=zcam,DC=ztech
user1 | CN=group_2,OU=Groupes,OU=CR 1,DC=zcam,DC=ztech
user2 | CN=group_2,OU=Groupes,OU=CR 1,DC=zcam,DC=ztech
user3 | CN=group_3,OU=Groupes,OU=CR 2,DC=zcam,DC=ztech
我需要让memberof
包含OU=Groupes,OU=CR 1,DC=zcam,DC=ztech
的每个用户(我的例子中的user1和user2)
按照这个文档(https://docs.microsoft.com/fr-fr/windows/desktop/ADSI/search-filter-syntax),我尝试了以下语法:
DirectoryEntry ldap = new DirectoryEntry("LDAP://xxx.xxx.xxx.xxx");
using (DirectorySearcher searcher = new DirectorySearcher(ldap))
{
// Works but return everything
searcher.Filter = "(&(objectClass=user)(memberof=*))";
// Works but only for one group
searcher.Filter = "(&(objectClass=user)(memberof=CN=group_1,OU=Groupes,OU=CR 1,DC=zcam,DC=ztechh))";
// Doesn't work because searcher.FindAll().Count returns 0
searcher.Filter = "(&(objectClass=user)(memberof=*,OU=Groupes,OU=CR 1,DC=zcam,DC=ztechh))";
// searcher.FindAll().Count returns 0
foreach (SearchResult result in searcher.FindAll())
{
[...]
}
在此之后(https://community.servicenow.com/community?id=community_question&sys_id=00d29fa1db101fc01dcaf3231f96197f)我试图通过*
更改通配符%
,但它没有改变结果。
我需要让每个用户的memberof包含OU = Groupes,OU = CR 1,DC = zcam,DC = ztech(我的例子中的user1和user2)
如果我理解正确,我认为这句话总结了你想要做的事情。您希望查找该OU中任何组成员的所有用户。
Active Directory不允许您在任何带有distinguishedName
的属性上使用通配符。这包括member
和memberOf
。所以这样做的唯一方法是分两步:
distinguishedName
。memberOf
包含步骤1中找到的值之一的所有用户。像这样的东西(我没有针对AD测试过这个,所以你可能需要调整它):
var groupSearch = new DirectorySearcher(
new DirectoryEntry("LDAP://OU=Groupes,OU=CR 1,DC=zcam,DC=ztech"), //notice the OU
"(objectClass=group)");
//if you don't do this, it will return *every* attribute, which is slower
groupSearch.PropertiesToLoad.Add("distinguishedName");
//build a user query with all the groups
var userFilter = new StringBuilder("(&(objectClass=user)(|");
using (var results = groupSearch.FindAll()) {
foreach (SearchResult result in results) {
userFilter.Append($"(memberOf={result.Properties["distinguishedName"][0]})");
}
}
userFilter.Append(")");
var userSearch = new DirectorySearcher(
new DirectoryEntry("LDAP://DC=zcam,DC=ztech"),
userFilter.ToString());
//userSearch.PropertiesToLoad.Add(""); //add only the attributes you need to make it quicker
using (var results = userSearch.FindAll()) {
foreach (SearchResult result in results) {
//do something
}
}
请注意,这只会找到这些组的直接成员。它不会返回嵌套组中的用户(当用户位于其中一个组的成员的组中时)。如果需要,可以调整过滤器以包含一个特殊标志,告诉AD递归搜索:
userFilter.Append($"(memberOf:1.2.840.113556.1.4.1941:={result.Properties["distinguishedName"][0]})");
根据您的域名,您可能希望了解两件事:
member
/ memberOf
存储。如果你好奇的话,我已经写了一些关于这个主题的文章。从这个开始:Active Directory: What makes a member a member?
编辑版;延伸所有你的group_X
(
&(objectClass=user)
(|(memberof=CN=group_1,OU=Groupes,OU=CR 1,DC=zcam,DC=ztechh)
(memberof=CN=group_2,OU=Groupes,OU=CR 1,DC=zcam,DC=ztechh))
)
最后,我找到了另一种方法。事实上,OU=CR 1
中的这个属性memberof
对应于我AD中的划分。所以我只是这样过滤:
DirectoryEntry ldap = new DirectoryEntry("LDAP://xxx.xxx.xxx.xxx");
using (DirectorySearcher searcher = new DirectorySearcher(ldap))
{
searcher.Filter = "(&(objectClass=user)(division=CR 1))";
foreach (SearchResult result in searcher.FindAll())
{
[...]
}
谢谢大家的帮助。