Bar*_*art 12 php ldap active-directory
我想创建一个作为每日cron运行的PHP脚本.我想要做的是枚举Active Directory中的所有用户,从每个条目中提取某些字段,并使用此信息更新MySQL数据库中的字段.
基本上我想要做的是在Active Directory和MySQL表之间同步某些用户信息.
我遇到的问题是,Active Directory服务器上的sizelimit通常设置为每个搜索结果1000个条目.我曾希望php函数"ldap_next_entry"能够通过一次只获取一个条目来解决这个问题,但是在你可以调用"ldap_next_entry"之前,首先必须调用"ldap_search",这可能会触发SizeLimit超出错误.
除了从服务器上删除sizelimit之外还有什么方法吗？我可以以某种方式获得结果的"页面"吗？
顺便说一句 - 我目前没有使用任何第三方库或代码.只是PHPs的ldap方法.虽然,如果有帮助,我肯定愿意使用图书馆.
Ste*_*rig 15
在为Zend Framework开发Zend_Ldap时,我也遇到了同样的问题.我将尝试解释真正的问题是什么,但要简短说明:在PHP 5.4之前,ext/ldap由于此扩展的限制,无法使用带有未修补的PHP()版本的Active Directory的分页结果.
让我们尝试解开整个事情...... Microsoft Active Directory使用所谓的服务器控件来完成服务器端结果分页.该控制在RFC 2696"用于简单分页结果操作的LDAP控制扩展"中描述.
ext/php通过其ldap_set_option()和LDAP_OPT_SERVER_CONTROLS和LDAP_OPT_CLIENT_CONTROLS选项分别提供对LDAP控件扩展的访问.要设置分页控件,你需要control-oid,这是1.2.840.113556.1.4.319,我们需要知道如何编码控制值(这在RFC中有描述).该值是一个八位字符串,包含以下SEQUENCE的BER编码版本(从RFC复制):
realSearchControlValue ::= SEQUENCE {
size INTEGER (0..maxInt),
-- requested page size from client
-- result set size estimate from server
cookie OCTET STRING
}
因此,我们可以在执行LDAP查询之前设置适当的服务器控件:
$pageSize = 100;
$pageControl = array(
'oid' => '1.2.840.113556.1.4.319', // the control-oid
'iscritical' => true, // the operation should fail if the server is not able to support this control
'value' => sprintf ("%c%c%c%c%c%c%c", 48, 5, 2, 1, $pageSize, 4, 0) // the required BER-encoded control-value
);
这允许我们将分页查询发送到LDAP/AD服务器.但是,我们如何知道是否有更多页面要遵循,以及我们如何指定我们必须向下一个查询发送哪个控制值？
这就是我们陷入困境的地方......服务器使用包含所需分页信息的结果集进行响应,但PHP缺少从结果集中准确检索此信息的方法.PHP为LDAP API函数提供了一个包装器,ldap_parse_result()但是所需的最后一个参数serverctrlsp没有公开给PHP函数,因此无法检索所需的信息.一个错误报告已经提交了这个问题,但一直存在自2005年以来没有任何反应.如果ldap_parse_result()功能提供所需的参数,使用分页的结果会像工作
$l = ldap_connect('somehost.mydomain.com');
$pageSize = 100;
$pageControl = array(
'oid' => '1.2.840.113556.1.4.319',
'iscritical' => true,
'value' => sprintf ("%c%c%c%c%c%c%c", 48, 5, 2, 1, $pageSize, 4, 0)
);
$controls = array($pageControl);
ldap_set_option($l, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_bind($l, 'CN=bind-user,OU=my-users,DC=mydomain,DC=com', 'bind-user-password');
$continue = true;
while ($continue) {
ldap_set_option($l, LDAP_OPT_SERVER_CONTROLS, $controls);
$sr = ldap_search($l, 'OU=some-ou,DC=mydomain,DC=com', 'cn=*', array('sAMAccountName'), null, null, null, null);
ldap_parse_result ($l, $sr, $errcode, $matcheddn, $errmsg, $referrals, $serverctrls); // (*)
if (isset($serverctrls)) {
foreach ($serverctrls as $i) {
if ($i["oid"] == '1.2.840.113556.1.4.319') {
$i["value"]{8} = chr($pageSize);
$i["iscritical"] = true;
$controls = array($i);
break;
}
}
}
$info = ldap_get_entries($l, $sr);
if ($info["count"] < $pageSize) {
$continue = false;
}
for ($entry = ldap_first_entry($l, $sr); $entry != false; $entry = ldap_next_entry($l, $entry)) {
$dn = ldap_get_dn($l, $entry);
}
}
如你所见,只有一行代码(*)会使整个事情变得毫无用处.在我的路上虽然关于这个主题的稀疏信息我找到了ext/ldapIñakiArenaza 对PHP 4.3.10的补丁,但我也没有尝试过,也不知道补丁是否可以应用于PHP5 ext/ldap.补丁扩展ldap_parse_result()为将第7个参数暴露给PHP:
--- ldap.c 2004-06-01 23:05:33.000000000 +0200
+++ /usr/src/php4/php4-4.3.10/ext/ldap/ldap.c 2005-09-03 17:02:03.000000000 +0200
@@ -74,7 +74,7 @@
ZEND_DECLARE_MODULE_GLOBALS(ldap)
static unsigned char third_argument_force_ref[] = { 3, BYREF_NONE, BYREF_NONE, BYREF_FORCE };
-static unsigned char arg3to6of6_force_ref[] = { 6, BYREF_NONE, BYREF_NONE, BYREF_FORCE, BYREF_FORCE, BYREF_FORCE, BYREF_FORCE };
+static unsigned char arg3to7of7_force_ref[] = { 7, BYREF_NONE, BYREF_NONE, BYREF_FORCE, BYREF_FORCE, BYREF_FORCE, BYREF_FORCE, BYREF_FORCE };
static int le_link, le_result, le_result_entry, le_ber_entry;
@@ -124,7 +124,7 @@
#if ( LDAP_API_VERSION > 2000 ) || HAVE_NSLDAP
PHP_FE(ldap_get_option, third_argument_force_ref)
PHP_FE(ldap_set_option, NULL)
- PHP_FE(ldap_parse_result, arg3to6of6_force_ref)
+ PHP_FE(ldap_parse_result, arg3to7of7_force_ref)
PHP_FE(ldap_first_reference, NULL)
PHP_FE(ldap_next_reference, NULL)
#ifdef HAVE_LDAP_PARSE_REFERENCE
@@ -1775,14 +1775,15 @@
Extract information from result */
PHP_FUNCTION(ldap_parse_result)
{
- pval **link, **result, **errcode, **matcheddn, **errmsg, **referrals;
+ pval **link, **result, **errcode, **matcheddn, **errmsg, **referrals, **serverctrls;
ldap_linkdata *ld;
LDAPMessage *ldap_result;
+ LDAPControl **lserverctrls, **ctrlp, *ctrl;
char **lreferrals, **refp;
char *lmatcheddn, *lerrmsg;
int rc, lerrcode, myargcount = ZEND_NUM_ARGS();
- if (myargcount 6 || zend_get_parameters_ex(myargcount, &link, &result, &errcode, &matcheddn, &errmsg, &referrals) == FAILURE) {
+ if (myargcount 7 || zend_get_parameters_ex(myargcount, &link, &result, &errcode, &matcheddn, &errmsg, &referrals, &serverctrls) == FAILURE) {
WRONG_PARAM_COUNT;
}
@@ -1793,7 +1794,7 @@
myargcount > 3 ? &lmatcheddn : NULL,
myargcount > 4 ? &lerrmsg : NULL,
myargcount > 5 ? &lreferrals : NULL,
- NULL /* &serverctrls */,
+ myargcount > 6 ? &lserverctrls : NULL,
0 );
if (rc != LDAP_SUCCESS ) {
php_error(E_WARNING, "%s(): Unable to parse result: %s", get_active_function_name(TSRMLS_C), ldap_err2string(rc));
@@ -1805,6 +1806,29 @@
/* Reverse -> fall through */
switch(myargcount) {
+ case 7 :
+ zval_dtor(*serverctrls);
+
+ if (lserverctrls != NULL) {
+ array_init(*serverctrls);
+ ctrlp = lserverctrls;
+
+ while (*ctrlp != NULL) {
+ zval *ctrl_array;
+
+ ctrl = *ctrlp;
+ MAKE_STD_ZVAL(ctrl_array);
+ array_init(ctrl_array);
+
+ add_assoc_string(ctrl_array, "oid", ctrl->ldctl_oid,1);
+ add_assoc_bool(ctrl_array, "iscritical", ctrl->ldctl_iscritical);
+ add_assoc_stringl(ctrl_array, "value", ctrl->ldctl_value.bv_val,
+ ctrl->ldctl_value.bv_len,1);
+ add_next_index_zval (*serverctrls, ctrl_array);
+ ctrlp++;
+ }
+ ldap_controls_free (lserverctrls);
+ }
case 6 :
zval_dtor(*referrals);
if (array_init(*referrals) == FAILURE) {
实际上,剩下的唯一选择是更改Active Directory配置并提高最大结果限制.相关选项被调用MaxPageSize,可以通过使用来更改ntdsutil.exe- 请参阅"如何使用Ntdsutil.exe在Active Directory中查看和设置LDAP策略".
编辑(参考COM):
或者您可以反过来使用ADODB的COM方法,如eykanal提供的链接中所示.