TSQL:如何获取用户在Active Directory中所属的组列表

Question

我有两个查询检索域中的所有组和所有用户, Mydomain

--; Get all groups in domain MyDomain
select  *  
from    OpenQuery(ADSI, '
    SELECT  samaccountname,mail,sn,name, cn, objectCategory
    FROM    ''LDAP://Mydomain/CN=users,DC=Mydomain,DC=com'' 
    WHERE   objectCategory=''group'' 
    ORDER BY cn
    ')

--; Get all users in domain MyDomain
select  *  
from    OpenQuery(ADSI,'
    SELECT objectCategory, cn, sn, mail, name, department,samaccountname
    FROM ''LDAP://Mydomaindomain/CN=users,DC=Mydomain,DC=com'' 
    WHERE objectCategory=''user'' 
    ORDER BY cn
    ')
--  where   samaccountname='mylogin'

我想知道的是,

如何检索MyDomain特定用户所属的所有组的列表？

[更新]我能够获得相反的结果
给定组名称,检索所有用户

select  *  
from    OpenQuery(ADSI,
    'SELECT objectCategory, cn, sn, mail, name, department
    FROM ''LDAP://Mydomain/CN=users,DC=wl-domain,DC=com'' 
    WHERE MemberOf=''cn=_____GROUPNAME_____,CN=users,DC=Mydomain,DC=com''
    ORDER BY cn' 
    )

Answer 1

下面的存储过程,使用示例执行:

Get_ADGroups_ForUser'Beau.Holland ' - 帐号名称

注意:将LDAP:// DC = Domain,DC = local替换为您自己的域.

CREATE PROCEDURE dbo.Get_ADGroups_ForUser
(
    @Username NVARCHAR(256) 
)
AS
BEGIN

    DECLARE @Query NVARCHAR(1024), @Path NVARCHAR(1024)

    -- Find the fully qualified CN e.g: CN=Beau Holland,OU=Users,OU=Australia,OU=NSO,OU=Company,DC=Domain,DC=local
    -- replace "LDAP://DC=Domain,DC=local" with your own domain
    SET @Query = '
        SELECT @Path = distinguishedName
        FROM OPENQUERY(ADSI, ''
            SELECT distinguishedName 
            FROM ''''LDAP://DC=Domain,DC=local''''
            WHERE 
                objectClass = ''''user'''' AND
                sAMAccountName = ''''' + @Username + '''''
        '')
    '
    EXEC SP_EXECUTESQL @Query, N'@Path NVARCHAR(1024) OUTPUT', @Path = @Path OUTPUT 

    -- get all groups for a user
    -- replace "LDAP://DC=Domain,DC=local" with your own domain
    SET @Query = '
        SELECT cn,AdsPath
        FROM OPENQUERY (ADSI, ''<LDAP://DC=Domain,DC=local>;(&(objectClass=group)(member:1.2.840.113556.1.4.1941:=' + @Path +'));cn, adspath;subtree'')'

    EXEC SP_EXECUTESQL @Query  

END
GO

Answer 2

您可以通过在其成员属性中获取包含用户的所有组来实现此目的,或者更好地获取用户的LDAP路径(distinguishedName).这是完成这项工作的简单程序.

CREATE PROCEDURE dbo.GetLdapUserGroups
(
    @LdapUsername NVARCHAR(256)
)
AS
BEGIN
    DECLARE @Query NVARCHAR(1024), @Path NVARCHAR(1024)

    SET @Query = '
        SELECT @Path = distinguishedName
        FROM OPENQUERY(ADSI, ''
            SELECT distinguishedName 
            FROM ''''LDAP://DC=domain,DC=com''''
            WHERE 
                objectClass = ''''user'''' AND
                sAMAccountName = ''''' + @LdapUsername + '''''
        '')
    '
    EXEC SP_EXECUTESQL @Query, N'@Path NVARCHAR(1024) OUTPUT', @Path = @Path OUTPUT 

    SET @Query = '
        SELECT name AS LdapGroup 
        FROM OPENQUERY(ADSI,''
            SELECT name 
            FROM ''''LDAP://DC=domain,DC=com''''
            WHERE 
                objectClass=''''group'''' AND
                member=''''' + @Path + '''''
        '')
        ORDER BY name
    '
    EXEC SP_EXECUTESQL @Query

END

- 希尔伯特

Answer 3

我认为这是基于T-SQL的AD接口的限制之一 - 您无法检索多值属性,例如属性(如memberOf用户),其中包含多个值.

您可以检索单值属性,如"sn"(姓氏=姓氏)或"givenName"和"mail"等,但基于SQL的界面无法处理分配了多个值的"memberOf"等属性给他们.

所以我担心你不得不采取另一种方式解决这个问题 - 例如,在托管代码中查找并填充组成员资格(单独在SQL Server之外,或者可能作为SQL Server内部的CLR程序集).

更新: 请参阅此处(MSDN支持)以获取有关OPENQUERY AD提供程序限制的说明:

限制
使用OPENQUERY语句从LDAP服务器提取信息的过程确实受到一些限制.在某些情况下可以规避这些限制,但在其他情况下,必须更改应用程序设计.使用ADSI从LDAP服务器检索信息,然后使用ADO或其他数据访问方法在SQL中构建表的外部应用程序或COM对象是另一种可行的方法.

第一个限制是该 多值属性无法 在结果集返回到SQL Server.ADSI将从LDAP服务器读取模式信息,该信息定义服务器使用的类和属性的结构和语法.如果从LDAP服务器请求的属性在模式中定义为多值,则无法在OPENQUERY语句中返回该属性.