Як написати запит LDAP, щоб перевірити, чи є користувач членом групи?

Я хочу написати запит LDAP, який перевіряє, чи є користувач (sAMAccountName) членом певної групи. Чи можливо це зробити так, щоб я отримав записи 0 або 1?

Я думаю, що я можу отримати всі групи для користувача та перевірити кожну на відповідність, але мені було цікаво, чи зможу я спакувати це в один вираз LDAP.

Будь-які ідеї?

Дякую

Ви маєте змогу створити запит із цим фільтром тут:

(&(objectClass=user)(sAMAccountName=yourUserName)
  (memberof=CN=YourGroup,OU=Users,DC=YourDomain,DC=com))

і коли ви запускаєте це на сервері LDAP, якщо ви отримуєте результат, ваш користувач "yourUserName" дійсно є членом групи "CN = YourGroup, OU = Користувачі, DC = YourDomain, DC = com

Спробуйте і подивіться, чи це працює!

Якщо ви використовуєте C # / VB.Net та System.DirectoryServices, цей фрагмент повинен зробити фокус:

DirectoryEntry rootEntry = new DirectoryEntry("LDAP://dc=yourcompany,dc=com");

DirectorySearcher srch = new DirectorySearcher(rootEntry);
srch.SearchScope = SearchScope.Subtree;

srch.Filter = "(&(objectClass=user)(sAMAccountName=yourusername)(memberOf=CN=yourgroup,OU=yourOU,DC=yourcompany,DC=com))";

SearchResultCollection res = srch.FindAll();

if(res == null || res.Count <= 0) {
    Console.WriteLine("This user is *NOT* member of that group");
} else {
    Console.WriteLine("This user is INDEED a member of that group");
}

Слово застереження: це буде лише тестом на членство в найближчих групах, і воно не перевірятиме на приналежність до того, що у вашому домені називається "первинна група" (зазвичай "cn = користувачі"). Він не обробляє вкладені члени, наприклад, Користувач A є членом групи A, яка є членом групи B - той факт, що Користувач A дійсно є членом групи B, також тут не відображається.

Марк

Якщо ви використовуєте OpenLDAP (тобто slapd), який є поширеним на серверах Linux, вам слід включити накладку memberof, щоб мати можливість співпадати з фільтром за допомогою атрибута (memberOf = XXX).

Крім того, щойно ви ввімкнете накладення, він не оновлює атрибути memberOf для існуючих груп (вам потрібно буде видалити існуючі групи та додати їх ще раз). Якщо ви ввімкнули накладення накладок, коли база даних була порожньою, тоді вам повинно бути в порядку.

Я додам ще одну відповідь до відповіді Марка: Атрибут memberOf не може містити символи, тому ви не можете сказати щось на кшталт "memberof = CN = SPS *", і очікуйте, що він знайде всі групи, що починаються з "SPS".

Ви повинні встановити свою базу запитів на DN-адресу відповідного користувача, а потім встановити свій фільтр на DN тієї групи, якій вам цікаво, чи є вони членом. Щоб побачити, чи jdoe є членом групи офісів, ваш запит буде виглядати приблизно так:

ldapsearch -x -D "ldap_user" -w "user_passwd" -b "cn=jdoe,dc=example,dc=local" -h ldap_host '(memberof=cn=officegroup,dc=example,dc=local)'

Якщо ви хочете побачити ВСІ групи, до яких він входить, просто запитайте лише атрибут 'memberof' у вашому пошуку, наприклад:

ldapsearch -x -D "ldap_user" -w "user_passwd" -b "cn=jdoe,dc=example,dc=local" -h ldap_host **memberof**