使用 LDAP 函数在 PHP 中获取 Active Directory tokenGroups 属性

Question

你好，

我已经与 AD 建立了工作连接，可以从中搜索和检索信息。我什至开发了一种递归方法，通过该方法可以检索给定用户的所有组。但是，如果可能，我想避免递归。一种方法是从用户的 AD 获取 tokenGroups 属性，该属性应该是指定用户拥有成员资格的组的 SID 列表，无论该成员资格是直接的还是间接的。

但是，当我搜索用户的 AD 信息时， tokenGroups 属性甚至不在其中。我尝试专门请求该信息（即，使用ldap_search的第四个参数指定它），但这也不起作用。

谢谢，大卫·基斯

---

Answer 1

解决了我自己的问题，并认为我会将答案放在这里，以便其他人可以找到它。问题是使用 ldap_search() 函数。答案是使用 ldap_read() 函数而不是 ldap_search()。区别在于请求的范围。搜索函数使用“sub”（即子树）的范围，而读取函数使用“base”。只有在使用“base”范围时才能找到 tokenGroups 信息，因此使用正确的 PHP 函数是关键。

正如我上面提到的，我正在使用 perl 中的其他代码来创建我的解决方案，而 perl 脚本使用一个名为“搜索”的函数来执行它的 LDAP 请求，这导致我走上了错误的道路。

感谢那些偷看问题的人！

——

根据评论中的要求，这里是代码中解决方案的基础知识。我正在从我使用的对象中提取，所以这可能不是 100%，但会很接近。此外，未在此剪辑中声明的变量（例如 $server、$user、$password）供您弄清楚；反正我不会知道你的 AD 凭据！

$ldap = ldap_connect($server);
ldap_bind($ldap, $user, $password);
$tokengroups = ldap_read($ldap, $dn, "CN=*", array("tokengroups")));
$tokengroups = ldap_get_entries($ldap, $tokengroups);

此时，$tokengroups我们的结果是一个数组。它应该有计数索引以及其他一些信息。要提取实际组，您需要执行以下操作：

$groups = array();
if($tokengroups["count"] > 0) {
    $groups = $tokengroups[0]["tokengroups"];
    unset($groups["count"]);

    // if you want the SID's for your groups, you can stop here.
    // if you want to decode the SID's then you can do something like this.
    // the sid_decode() here: http://www.php.net/manual/en/function.unpack.php#72591

    foreach($groups as $i => &$sid) {
        $sid = sid_decode($sid);

        $sid_dn = ldap_read($ldap, "<SID=$sid>", "CN=*", array("dn"));
        if($sid_dn !== false) {
            $group = ldap_get_entries($ldap, $sid_dn);
            $group = $group["count"] == 1 ? $group[0]["dn"] : NULL;
            $groups[$i] = $group;
        }
    }
}

这就是基础知识。有一个警告：您可能需要与在您的组织中管理 AD 帐户的个人或个人合作。我第一次尝试让它运行时（几年前，所以我的记忆有些模糊），我获得的帐户没有访问令牌组信息的适当授权。我确信还有其他方法可以做到这一点，但是因为我正在为这个特定的解决方案移植其他人的代码，所以我就是这样做的。