从 SQL Server 查询外部 LDAP 服务器

Question

我对查询 LDAP 服务器进行了广泛的研究，但到目前为止还没有解决。所以请高手帮忙

背景：我有一个客户端，其 LDAP 服务器是 OnPremise（虽然面向公众），我在防火墙内有一个 SQL Server（2012 SE）。外部 LDAP 和内部 SQL Server 之间的通信很好，因为我可以互相 ping 通。我还创建了一个远程域帐户，并在 SQL Server 上创建链接服务器时使用了该帐户。我还有我们的内部域控制器，它具有域信任关系。现在，我使用域帐户创建了 2 个链接服务器，但我无法在内部和外部查询 LDAP 服务器。我希望这是有道理的。无论如何，这是我的链接服务器的定义和我收到的错误

[已解决] 链接服务器到内部 LDAP 服务器：这是通过使用 ADuser@domain.com 而不是 domain/ADuser 解决的

USE [master]
GO

EXEC master.dbo.sp_addlinkedserver @server = N'ADSI', @srvproduct=N'Active 
Directory Service Interfaces', @provider=N'ADSDSOObject', 
@datasrc=N'adsdatasource'

EXEC master.dbo.sp_addlinkedsrvlogin 
@rmtsrvname=N'ADSI',@useself=N'False',@locallogin=NULL,
@rmtuser=N'Domain/ADUser',@rmtpassword='########'

错误：

消息 7321，级别 16，状态 2，第 1 行准备查询时出错“SELECT *
FROM 'LDAP://Domain.com/OU=Accounts,DC=Domain,DC=com' --WHERE objectClass = 'User ' " 用于针对链接服务器 "ADSI" 的 OLE DB 提供程序 "ADSDSOObject" 执行。

链接服务器到外部 LDAP 服务器

USE [master]
GO


EXEC master.dbo.sp_addlinkedserver @server = N'ADSIE', @srvproduct=N'Active 
Directory Service Interfaces', @provider=N'ADSDSOObject', 
@datasrc=N'CustomerIPAdress'

EXEC master.dbo.sp_addlinkedsrvlogin 
@rmtsrvname=N'ADSI',@useself=N'False',@locallogin=NULL,
@rmtuser=N'Domain/ADUser',@rmtpassword='########'

错误：

消息 7399，级别 16，状态 1，第 1 行链接服务器“ADSIE”的 OLE DB 提供程序“ADsDSOObject”报告了 > 错误。提供者表示用户没有 > 执行操作的权限。消息 7321，级别 16，状态 2，第 1 行准备查询“SELECT * FROM 'LDAP://Customer IP Adress' WHERE objectClass = 'User'”以针对链接服务器的 OLE DB 提供程序“ADsDSOObject”执行时出错>“ADSIE”。

任何帮助将不胜感激。提前致谢。

Answer 1

第二条错误消息中最引人注目的是以下消息：

提供者表明用户没有执行该操作的权限

这告诉我，链接服务器配置中的用户无权访问 AD/LDAP 服务器来执行该查询。这是我的 ADSI 配置以及示例查询。您可能需要与 SA 团队合作，以确保链接服务器中配置的帐户具有查询 AD/LDAP 的正确访问权限。

    USE [master]
GO

/****** Object:  LinkedServer [ADSI]    Script Date: 11/10/2017 3:46:31 PM ******/
EXEC master.dbo.sp_addlinkedserver @server = N'ADSI', @srvproduct=N'Active Directory Services 2.5', @provider=N'ADSDSOObject', @datasrc=N'adsdatasource'
 /* For security reasons the linked server remote logins password is changed with ######## */
EXEC master.dbo.sp_addlinkedsrvlogin @rmtsrvname=N'ADSI',@useself=N'False',@locallogin=NULL,@rmtuser=N'domain\accountname',@rmtpassword='########'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'collation compatible', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'data access', @optvalue=N'true'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'dist', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'pub', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'rpc', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'rpc out', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'sub', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'connect timeout', @optvalue=N'0'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'collation name', @optvalue=NULL
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'lazy schema validation', @optvalue=N'false'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'query timeout', @optvalue=N'0'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'use remote collation', @optvalue=N'true'
GO
EXEC master.dbo.sp_serveroption @server=N'ADSI', @optname=N'remote proc transaction promotion', @optvalue=N'true'
GO

这里是使用openquery使用ADSI链接服务器的示例，但是在构建LDAP连接字符串之前您需要了解AD的OU结构和域结构。

SELECT sn, displayName, givenName, mail, telephoneNumber, ipPhone, sAMAccountName
FROM OPENQUERY(ADSI, 
'SELECT sAMAccountName, displayName, telephoneNumber, ipPhone, mail, givenName, sn 
FROM ''LDAP://DC=test,DC=intranet,DC=com'' WHERE objectCategory = ''Person'' AND objectClass = ''user''')
AS derivedtbl_1

注意：出于安全原因，我更改了 LDAP 字符串中的 DC 名称，但您应该能够明白这一点。