Active Directory LDAP-запрос по sAMAccountName и домену
Как вы делаете запрос хранилища LDAP по sAMAccountName и домену? Какое свойство "домен" названо в терминах Active Directory или LDAP?
Это то, что у меня есть для фильтра до сих пор. Я хотел бы иметь возможность добавить в домен:
(&(objectCategory=Person)(sAMAccountName=BTYNDALL))
7 ответов
Во-первых, измените ваш поисковый фильтр, чтобы искать только пользователей, а не контакты:
(&(objectCategory=person)(objectClass=user)(sAMAccountName=BTYNDALL))
Вы можете перечислить все домены леса, подключившись к разделу конфигурации и перечислив все записи в контейнере разделов. Извините, у меня сейчас нет кода на C#, но вот код VBScript, который я использовал в прошлом:
Set objRootDSE = GetObject("LDAP://RootDSE")
AdComm.Properties("Sort on") = "name"
AdComm.CommandText = "<LDAP://cn=Partitions," & _
objRootDSE.Get("ConfigurationNamingContext") & ">;" & _
"(&(objectcategory=crossRef)(systemFlags=3));" & _
"name,nCName,dnsRoot;onelevel"
set AdRs = AdComm.Execute
Из этого вы можете получить имя и dnsRoot каждого раздела:
AdRs.MoveFirst
With AdRs
While Not .EOF
dnsRoot = .Fields("dnsRoot")
Set objOption = Document.createElement("OPTION")
objOption.Text = dnsRoot(0)
objOption.Value = "LDAP://" & dnsRoot(0) & "/" & .Fields("nCName").Value
Domain.Add(objOption)
.MoveNext
Wend
End With
Вы можете использовать следующие запросы
Пользователи, чье имя для входа (Pre-Windows 2000) равно John
(&(objectCategory=person)(objectClass=user)(!sAMAccountType=805306370)(sAMAccountName=**John**))
Все пользователи
(&(objectCategory=person)(objectClass=user)(!sAMAccountType=805306370))
Включенные пользователи
(&(objectCategory=person)(objectClass=user)(!sAMAccountType=805306370)(!userAccountControl:1.2.840.113556.1.4.803:=2))
Пользователи с ограниченными возможностями
(&(objectCategory=person)(objectClass=user)(!sAMAccountType=805306370)(userAccountControl:1.2.840.113556.1.4.803:=2))
LockedOut Пользователи
(&(objectCategory=person)(objectClass=user)(!sAMAccountType=805306370)(lockouttime>=1))
Лучший способ поиска пользователей (sAMAccountType=805306368),
Или для инвалидов:
(&(sAMAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=2))
Или для активных пользователей:
(&(sAMAccountType=805306368)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
Я считаю, что LDAP не такой легкий, как предполагалось.
Также ресурс для распространенных LDAP-запросов - пытаясь найти их самостоятельно, вы будете тратить драгоценное время и определенно совершать ошибки.
Относительно доменов: это невозможно в одном запросе, потому что домен является частью пользователя distinguisedName (DN), который в Microsoft AD не доступен для поиска при частичном сопоставлении.
"Домен" не является свойством объекта LDAP. Это больше похоже на имя базы данных, в которой хранится объект.
Таким образом, вы должны подключиться к нужной базе данных (в терминах LDAP: "привязать к домену / серверу каталогов"), чтобы выполнить поиск в этой базе данных.
Как только вы успешно свяжетесь, ваш запрос в его текущей форме - это все, что вам нужно.
Кстати: выбор "ObjectCategory=Person" над "ObjectClass=user" было хорошим решением. В AD первый является "индексированным свойством" с превосходной производительностью, последний не индексируется и немного медленнее.
Вы должны выполнить поиск в домене:
http://msdn.microsoft.com/en-us/library/ms677934(VS.85).aspx Итак, в основном вы должны привязаться к домену для поиска внутри этого домена.
Если вы используете.NET, используйте класс DirectorySearcher. Вы можете передать свой домен в виде строки в конструктор.
// if you domain is domain.com...
string username = "user"
string domain = "LDAP://DC=domain,DC=com";
DirectorySearcher search = new DirectorySearcher(domain);
search.Filter = "(SAMAccountName=" + username + ")";
Я написал класс C#, включающий
- алгоритм от Dscoduc,
- оптимизация запроса от сорина,
- кэш для отображения домена на сервер и
- метод для поиска имени учетной записи в формате DOMAIN\sAMAccountName.
Тем не менее, он не осведомлен о сайте.
using System;
using System.Collections.Generic;
using System.DirectoryServices;
using System.Linq;
using System.Text;
public static class ADUserFinder
{
private static Dictionary<string, string> _dictDomain2LDAPPath;
private static Dictionary<string, string> DictDomain2LDAPPath
{
get
{
if (null == _dictDomain2LDAPPath)
{
string configContainer;
using (DirectoryEntry rootDSE = new DirectoryEntry("LDAP://RootDSE"))
configContainer = rootDSE.Properties["ConfigurationNamingContext"].Value.ToString();
using (DirectoryEntry partitionsContainer = new DirectoryEntry("LDAP://CN=Partitions," + configContainer))
using (DirectorySearcher dsPartitions = new DirectorySearcher(
partitionsContainer,
"(&(objectcategory=crossRef)(systemFlags=3))",
new string[] { "name", "nCName", "dnsRoot" },
SearchScope.OneLevel
))
using (SearchResultCollection srcPartitions = dsPartitions.FindAll())
{
_dictDomain2LDAPPath = srcPartitions.OfType<SearchResult>()
.ToDictionary(
result => result.Properties["name"][0].ToString(), // the DOMAIN part
result => $"LDAP://{result.Properties["dnsRoot"][0]}/{result.Properties["nCName"][0]}"
);
}
}
return _dictDomain2LDAPPath;
}
}
private static DirectoryEntry FindRootEntry(string domainPart)
{
if (DictDomain2LDAPPath.ContainsKey(domainPart))
return new DirectoryEntry(DictDomain2LDAPPath[domainPart]);
else
throw new ArgumentException($"Domain \"{domainPart}\" is unknown in Active Directory");
}
public static DirectoryEntry FindUser(string domain, string sAMAccountName)
{
using (DirectoryEntry rootEntryForDomain = FindRootEntry(domain))
using (DirectorySearcher dsUser = new DirectorySearcher(
rootEntryForDomain,
$"(&(sAMAccountType=805306368)(sAMAccountName={EscapeLdapSearchFilter(sAMAccountName)}))" // magic number 805306368 means "user objects", it's more efficient than (objectClass=user)
))
return dsUser.FindOne().GetDirectoryEntry();
}
public static DirectoryEntry FindUser(string domainBackslashSAMAccountName)
{
string[] domainAndsAMAccountName = domainBackslashSAMAccountName.Split('\\');
if (domainAndsAMAccountName.Length != 2)
throw new ArgumentException($"User name \"{domainBackslashSAMAccountName}\" is not in correct format DOMAIN\\SAMACCOUNTNAME", "DomainBackslashSAMAccountName");
string domain = domainAndsAMAccountName[0];
string sAMAccountName = domainAndsAMAccountName[1];
return FindUser(domain, sAMAccountName);
}
/// <summary>
/// Escapes the LDAP search filter to prevent LDAP injection attacks.
/// Copied from https://stackru.com/questions/649149/how-to-escape-a-string-in-c-for-use-in-an-ldap-query
/// </summary>
/// <param name="searchFilter">The search filter.</param>
/// <see cref="https://blogs.oracle.com/shankar/entry/what_is_ldap_injection" />
/// <see cref="http://msdn.microsoft.com/en-us/library/aa746475.aspx" />
/// <returns>The escaped search filter.</returns>
private static string EscapeLdapSearchFilter(string searchFilter)
{
StringBuilder escape = new StringBuilder();
for (int i = 0; i < searchFilter.Length; ++i)
{
char current = searchFilter[i];
switch (current)
{
case '\\':
escape.Append(@"\5c");
break;
case '*':
escape.Append(@"\2a");
break;
case '(':
escape.Append(@"\28");
break;
case ')':
escape.Append(@"\29");
break;
case '\u0000':
escape.Append(@"\00");
break;
case '/':
escape.Append(@"\2f");
break;
default:
escape.Append(current);
break;
}
}
return escape.ToString();
}
}