Фильтр LDAP для исключения группы администраторов из GAL (на Zimbra)

Question

Я пытаюсь настроить внешний активный каталог GAL на Zimbra 8.8.7; Мой текущий рабочий фильтр

(&(|(displayName=*%s*)(cn=*%s*)(sn=*%s*)(givenName=*%s*)(mail=*%s*))(|(&(objectCategory=person)(objectClass=user)(!(homeMDB=*))(!(msExchHomeServerName=*)))(&(objectCategory=person)(objectClass=user)(|(homeMDB=*)(msExchHomeServerName=*)))(&(objectCategory=person)(objectClass=contact))(objectCategory=publicFolder)(objectCategory=msExchDynamicDistributionList)))

фильтр автозаполнения

(|(cn=%s*)(sn=%s*)(gn=%s*)(mail=%s*))

Поисковая база LDAP

dc=sub,dc=domain,dc=com

Поиск и автозаполнение возвращает всех пользователей AD, включая учетные записи администраторов. Как правильно исключить группу администраторов из поиска ldap? учетные записи, которые я должен исключить, находятся в подразделении "Администраторы" и являются членами нескольких групп, таких как Buildin "Администраторы" и пользователи "Администраторы домена", "Администраторы предприятия" и т. д. Я попытался добавить (& (objectCategory = group) (! cn =Admin), но это не похоже на действительность.

Answer 1

Решил опубликовать мой обходной путь, который уже находится в производстве. Не удалось заставить правило исключения работать, и другая задача требовала создания реальной группы сотрудников в AD в любом случае, поэтому в конечном итоге добавление всех учетных записей людей в группу Поиск персонала и домена GAL выглядит следующим образом:

LDAP filter: (&(objectCategory=Person)(sAMAccountName=*)(memberOf=cn=Staff,ou=Groups,dc=dc1,dc=domainname,dc=com))

Autocomplete filter: (|(cn=%s*)(sn=%s*)(gn=%s*)(mail=%s*))

LDAP search base: dc=dc1,dc=domainname,dc=com