LDAP/ActiveDirectory BindDN 语法

Question

我正在对客户端的基于 linux 的硬件防火墙进行故障排除。此硬件防火墙连接到 ActiveDirectory 以进行单点登录身份验证。

据我所知，ActiveDirectory 只是 LDAP 的一个变态版本，并使用相同的 BindDN 语法——如果我错了，请纠正我。

客户端已将其配置为他们的 BindDN —— 出于隐私原因替换了实际字符串，但保留了特殊字符和空格。“somerandomplace\fubar fubaz”

这对我来说似乎不是有效的 BindDN 语法，我以前使用过 LDAP，但是当我们点击测试按钮来测试这个 BindDN 时，测试成功了。当我只更改 BindDN 中的一个字符并再次运行测试时，测试失败。

我试图弄清楚这里的问题是什么：

A) 我不完全理解 BindND 和相关语法的细微差别

或者

B) 设备未能正确验证输入并且错误地将测试识别为成功

Answer 1

LDAP 只是一个协议。正如 Greg 所说，Microsoft 在 Active Directory 中的实现符合定义它的各种 RFC。（给他+1）

Doug 的回答部分正确，因为他给出了一个有效绑定 DN 的示例。但 Active Directory 特别允许将绑定 DN 值也作为其他形式发送。在我看来，最好使用的形式UserPrincipalName (UPN)是通常采用以下形式，除非它已被明确更改。

• <sAMAccountName>@<domain FQDN>（例如 user1@contoso.com）

与普通 DN 值相比，这样做的好处是用户帐户可以在 AD 内移动，并且使用凭据的应用程序不必更新其配置。

它也可以是旧的 NetBIOS 形式，看起来像这样并且看起来是您的客户端正在使用的。

• <域 NetBIOS 名称>\<sAMAccountName>（例如 CONTOSO\user1）

这与 UPN 值具有相同的好处，但同样被视为遗留值。NetBIOS 名称早就应该死了，但这是另一个线程的咆哮。

Answer 2

对于位于 Users 容器中的用户，绑定 DN 将为 CN=username、CN=Users、DC=yourdomain、DC=com。

如果您也只输入用户名，它可能会起作用，因为如果它支持 Active Directory，它可能会搜索 sAMAccountname 属性。只是不要在用户名前面加上域名。