Фильтр поиска LDAP для вложенных групп
Мне нужна информация о фильтре поиска LDAP для извлечения членства во вложенных группах. По сути, моя идея, например, состоит в том, что пользователь принадлежит к 5 группам [A, B, C, D, E]. Могу ли я написать один поисковый запрос LDAP, чтобы получить группы участников, в какую группу [A, B, C, D, E] может быть частью? И я могу использовать этот журнал рекурсивно, чтобы получить всю информацию о группе до полного корня AD?
И мне нужно это решение для универсального AD, поэтому я не могу использовать фильтр LDAP_RULE_IN_CHAIN, который работает только для MS AD.
2 ответа
Все группы, в которые входит пользователь, включая вложенные группы
В качестве примера, чтобы найти все группы, в которые входит "CN=John Smith,DC=MyDomain,DC=NET", установите в качестве основания DN контейнера контейнера; например (OU=groupsOU,DC=MyDomain,DC=NET) и область действия для поддерева, и используйте следующий фильтр.
(член:1.2.840.113556.1.4.1941:=(CN=John Smith,DC=MyDomain,DC=NET))
Где CN = Джон Смит, DC = MyDomain, DC = NET - это FDN пользователя и Правило расширяемого соответствия 1.2.840.113556.1.4.1941.
-Джим
Группы не являются чем-то определенным в стандарте LDAP. Что касается LDAP, групповые записи - это просто записи LDAP - не более того. Реализация поддержки групп, включая способ обработки, запроса, проверки и т. Д. Структур данных, таких как вложенные и динамические группы, полностью зависит от поставщика программного обеспечения каталога. Например, программное обеспечение IBM Security Directory Server (SDS) поддерживает вложенные и динамические группы через собственные проприетарные объектные классы и атрибуты, которые специально распознаются программным обеспечением, и обход (для вложенных групп) и расширение (для динамических групп) для проверки членства или для получения структуры группы автоматически делаются для клиента LDAP. Например, SDS предоставляет операционные атрибуты, такие как ibm-allgroups а также ibm-allmembers чтобы помочь клиентам LDAP извлекать информацию о группах и членстве во вложенных и динамических группах за один поиск. Другие поставщики каталогов решают ту же проблему по-разному. Поэтому ваше решение будет зависеть от используемого вами программного обеспечения LDAP. Вы можете спроектировать свое приложение так, чтобы оно поддерживало программное обеспечение нескольких серверов каталогов, но это зависит от того, насколько изощренным вы хотите получить поддержку группы в своем приложении.