Question

如果在Windows AD中删除用户或组，它将在“DElETE objects”中。我想用python ldap lib来获取它们。代码：

<code>
import ldap
uri = "ldap://10.64.74.17"
user = "XXXXXXXXXX"
password = "XXXXXXXXXXXX"
ldap.set_option(ldap.OPT_REFERRALS, 0)
ldap.set_option(ldap.OPT_NETWORK_TIMEOUT, 5)
ldap.protocol_version = 3
ldapClient = ldap.initialize(uri)
ldapClient.simple_bind_s(user, password)
filter = "(&(objectclass=person)(isDeleted=true)(!(objectclass=computer)))"
results = ldapClient.search_s("DC=xx,DC=com", ldap.SCOPE_SUBTREE,filter)
for result in results:
  print result
ldapClient.unbind_s()
</code>

无法显示已删除的对象。这段代码出了什么问题？

Answer 1

您需要在搜索中添加ldap control。它看起来像这样。基本上为特定操作创建请求控件（在您的情况下，AD的这个OID是1.2.840.113556.1.4.417）。然后将一组控件作为可选参数传递给您的搜索请求。

tombstone_control = ('1.2.840.113556.1.4.417',criticality=1)
results = ldapClient.search_s("DC=xx,DC=com", ldap.SCOPE_SUBTREE,filter, [tombstone_control])

我认为这会奏效。您还可以将搜索范围限定为CN=Deleted Objects, DC=xx,DC=com，因为这是所有已删除对象的最终位置。您应该首先确保删除的对象存在。您可以使用ldp.exe进行检查。

通过python-ldap删除AD用户/组

1 个答案: