Почему встроенные группы безопасности не входят в атрибут memberOf?

Question

Если я запрашиваю AD, то для некоторых пользователей атрибут memberOf не содержит встроенных групп. Пользователи с этой проблемой перемещаются в отдельное подразделение.

Запрос прост:

(&(objectClass=person)(uid=xyz))

Но инструмент "Пользователи и компьютеры Active Directory" от Microsoft показывает это участникам. Где может быть проблема? Это проблема прав доступа?

Answer 1

Существует понятие Первичной группы в AD. По умолчанию обычно используются пользователи домена.

Это представляется для объекта пользователя в виде атрибута с именем PrimaryGroupID, а 513 - это пользователи домена.

Может быть и должна быть только одна первичная группа, и для удаления текущей необходимо сначала добавить еще одну группу в качестве участника, а затем поменять местами идентификатор основной группы.