ldap 查询属于名为 X 的组的用户的 Active Directory 服务器

Question

当我在 CentOS 6.4 上的 bash 提示符下执行此操作时

ldapsearch -LLL -H ldap://adserver.example.com -x -D someuser@example.com -w somepass -b 'OU=Users,DC=example,DC=com' '(&(objectClass=person)(sAMAccountName=testuser))'

我得到

dn: CN=TestUser Surname,OU=Area,OU=Users,DC=example,DC=com
...
objectClass: person
...
cn: TestUser Surname
sn: Surname
...
distinguishedName: CN=TestUser Surname,OU=Area,OU=Users,DC=example,DC=com
...
memberOf: CN=Group1,OU=Area,OU=Users,DC=example,DC=com
memberOf: CN=Gropu2,OU=Users,DC=example,DC=com
...
sAMAccountName: testuser

我只想在 testuser 属于名为 X 的组时得到响应，而不管组 X 在 AD 层次结构中的位置。例如：我想要名为 testuser 的用户的数据，该用户是名为 Group1 的组的成员。

我尝试将过滤器更改为：

1. (&(objectClass=person)(sAMAccountName=testuser)(memberOf=CN=Group1*))
2. (&(objectClass=person)(sAMAccountName=testuser)(memberOf=*Group1*))

无济于事。

从上面的输出可以看出， testuser 属于组

1. CN=Group1,OU=Area,OU=Users,DC=example,DC=com
2. CN=Gropu2,OU=Users,DC=example,DC=com。

当我使用过滤器 '(&(objectClass=person)(sAMAccountName=testuser)(memberOf=CN=Group1,OU=Area,OU=Users,DC=example,DC=com))' 它可以工作，但我需要一个仅使用组名查询（不使用完整的“路径”）。

有什么办法吗？

我尝试这样做是因为我需要使用 Active Directory 定义的组作为 squid（linux 代理）ACL。为此，我需要定义一个外部 ACL 类型，例如

external_acl_type ADGroup %LOGIN /usr/lib64/squid/squid_ldap_group -R -b "OU=Users,DC=example,DC=com" -D someuser@example.com -w somepass -f "(&(objectclass=person)(sAMAccountName=%u)(memberof=CN=%g,OU=Users,DC=example,DC=com))" -h adserver.example.com

然后使用该类型来定义 ACL，例如

acl ADGroup_Group1 external ADGroup Group1
acl ADGroup_Group2 external ADGroup Group2
...
http_access allow ADGroup_Group1;
http_access deny ADGroup_Group2;

当squid 检查这个“允许”时，它将用用户登录名替换%u，用ACL (Group1,Group2) 中定义的组名替换%g，然后进行上面的LDAP 查询。

从上面可以看出“http_access 允许 ADGroup_Group1;” 将按预期工作，但“http_access deny ADGroup_Group2;” 将不起作用，因为 Group1 和 Group2 的父 OU 不同。

所以我有3个选择：

1. 找到一个适用于任何组名的过滤器，无论路径如何（这个问题）
2. 将（可能）所有AD 组移动到同一个 OU（呃……将对象移动到不同的 OU 会给我带来更多的工作，因为那时我必须重新调整 GPO - 或者至少检查已经定义的 GPO 是否有任何更改移动可以带来）
3. 为每个带有组的 OU 定义（可能）一个 external_acl_type。（在这种情况下，我将有 N 个外部进程来检查 LDAP 过滤器中的路径更改）

Answer 1

不幸的是没有。LDAP 对象的通用名称不是全局唯一的；它仅相对于其父 OU 而言是唯一的。因此，如果您可以根据组的 CN 询问用户是否是组的成员，则可能会得到多个结果。

正是因为这个原因，用户对象的 memberOf 属性是一个 DN 列表（专有名称，或完整的 X.500 路径）。