☰

ldapquery 查询属于名为 X 的组的用户的 Active Directory 服务器

tag-icon • tag-icon linux active-directory openldap ldap
ldapquery 查询属于名为 X 的组的用户的 Active Directory 服务器

当我在 CentOS 6.4 上的 bash 提示符下执行此操作时

ldapsearch -LLL -H ldap://adserver.example.com -x -D [email protected] -w somepass -b 'OU=Users,DC=example,DC=com' '(&(objectClass=person)(sAMAccountName=testuser))'

我明白了

dn: CN=TestUser Surname,OU=Area,OU=Users,DC=example,DC=com
...
objectClass: person
...
cn: TestUser Surname
sn: Surname
...
distinguishedName: CN=TestUser Surname,OU=Area,OU=Users,DC=example,DC=com
...
memberOf: CN=Group1,OU=Area,OU=Users,DC=example,DC=com
memberOf: CN=Gropu2,OU=Users,DC=example,DC=com
...
sAMAccountName: testuser

我希望仅当 testuser 属于名为 X 的组时才获得响应，而不管组 X 在 AD 层次结构中位于何处。例如：我想要名为 testuser 的用户的数据，该用户是名为 Group1 的组的成员。

我尝试将过滤器更改为：

  1. （&（objectClass=person）（sAMAccountName=testuser）（memberOf=CN=Group1*））
  2. （&（objectClass=person）（sAMAccountName=testuser）（memberOf=*Group1*））

无济于事。

从上面的输出可以看出，testuser 属于组

  1. CN=组 1,OU=区域,OU=用户,DC=示例,DC=com
  2. CN=Gropu2,OU=用户,DC=示例,DC=com。

当我使用过滤器“(&(objectClass=person)(sAMAccountName=testuser)(memberOf=CN=Group1,OU=Area,OU=Users,DC=example,DC=com))”时它可以工作，但我需要仅使用组名的查询（而不是使用完整的“路径”）。

有什么办法吗？

我尝试这样做是因为我需要使用 Active Directory 定义的组作为 squid（Linux 代理）ACL。为此，我需要定义一个外部 ACL 类型，例如

external_acl_type ADGroup %LOGIN /usr/lib64/squid/squid_ldap_group -R -b "OU=Users,DC=example,DC=com" -D [email protected] -w somepass -f "(&(objectclass=person)(sAMAccountName=%u)(memberof=CN=%g,OU=Users,DC=example,DC=com))" -h adserver.example.com

然后使用该类型定义 ACL，例如

acl ADGroup_Group1 external ADGroup Group1
acl ADGroup_Group2 external ADGroup Group2
...
http_access allow ADGroup_Group1;
http_access deny ADGroup_Group2;

当 squid 检查这个“允许”时，它将用用户登录名替换 %u，用 ACL 中定义的组名 (Group1,Group2) 替换 %g，然后进行上述 LDAP 查询。

从上面可以看出，“http_access allow ADGroup_Group1;”将按预期工作，但“http_access denied ADGroup_Group2;”将不起作用，因为 Group1 和 Group2 的父 OU 不同。

所以我有 3 个选择：

  1. 找到一个适用于任何组名的过滤器，无论路径如何（本问题）
  2. 移动（潜在）全部AD 组到同一个 OU（呃……将对象移动到不同的 OU 会给我带来更多工作，因为我必须重新调整 GPO - 或者至少检查已定义的 GPO 以查看此举可能带来的任何变化）
  3. 为每个具有组的 OU 定义（可能）一个 external_acl_type。（在这种情况下，我将有 N 个外部进程只是为了检查 LDAP 过滤器中的路径更改）

答案1

不幸的是，不是。LDAP 对象的通用名称不是全局唯一的；它仅相对于其父 OU 是唯一的。因此，如果您可以根据组的 CN 询问用户是否是组的成员，您可能会得到多个结果。

正是由于这个原因，用户对象的 memberOf 属性是 DN（可分辨名称或完整 X.500 路径）的列表。

相关内容