如何编写LDAP查询来testing用户是否是组的成员?

我想编写一个LDAP查询来testing用户(sAMAccountName)是否是特定组的成员。 是否有可能这样做,我得到0或1个结果logging?

我想我可以得到用户的所有组,并testing每一个匹配,但我想知道如果我可以打包到一个LDAPexpression式。

有任何想法吗?

谢谢

你应该可以在这里用这个filter创build一个查询:

(&(objectClass=user)(sAMAccountName=yourUserName) (memberof=CN=YourGroup,OU=Users,DC=YourDomain,DC=com)) 

当你运行LDAP服务器时,如果你得到一个结果,你的用户“yourUserName”确实是组的成员“CN = YourGroup,OU = Users,DC = YourDomain,DC = com

尝试看看这是否工作!

如果您使用C#/ VB.Net和System.DirectoryServices,这个片段应该做的伎俩:

 DirectoryEntry rootEntry = new DirectoryEntry("LDAP://dc=yourcompany,dc=com"); DirectorySearcher srch = new DirectorySearcher(rootEntry); srch.SearchScope = SearchScope.Subtree; srch.Filter = "(&(objectClass=user)(sAMAccountName=yourusername)(memberOf=CN=yourgroup,OU=yourOU,DC=yourcompany,DC=com))"; SearchResultCollection res = srch.FindAll(); if(res == null || res.Count <= 0) { Console.WriteLine("This user is *NOT* member of that group"); } else { Console.WriteLine("This user is INDEED a member of that group"); } 

谨慎的说法:这只会testing即时群组成员资格,并且不会在您的域中testing所谓的“主要群组”(通常是“cn = Users”)的成员身份。 它不处理嵌套成员资格,例如用户A是组B的成员的组A的成员 – 事实上,用户A实际上是组B的成员,也没有在这里得到体现。

渣子

如果您正在使用Linux服务器上常见的OpenLDAP(即slapd),则必须启用叠加成员才能使用(memberOf = XXX)属性匹配filter。

另外,一旦启用覆盖,它不会更新现有组的memberOf属性(您将需要删除现有组并将其重新添加)。 如果你启用覆盖开始,当数据库是空的,那么你应该没问题。

我会在Marc的答案中再增加一个:memberOf属性不能包含通配符,所以你不能说“memberof = CN = SPS *”,并期望它find所有以“SPS”开头的组。

您必须将您的查询基础设置为相关用户的DN,然后将您的filter设置为您想知道他们是否为其成员的组的DN。 要查看jdoe是否是办公室组的成员,那么您的查询将如下所示:

 ldapsearch -x -D "ldap_user" -w "user_passwd" -b "cn=jdoe,dc=example,dc=local" -h ldap_host '(memberof=cn=officegroup,dc=example,dc=local)' 

如果你想看到他所属的所有组,只要在你的search中只要求'memberof'属性就可以了,如下所示:

 ldapsearch -x -D "ldap_user" -w "user_passwd" -b "cn=jdoe,dc=example,dc=local" -h ldap_host **memberof**