在不使用GC的情况下在整个Active Directory林中搜索

Question

让我们想象一下我在森林之下：

- home.org (root domain)
  - child1.home.org (child domain 1)
  - child2.home.org (child domain 2)
    - ...

我希望通过一些LDAP过滤器找到林中的所有AD组。

原因我可以使用GC，但这不是我的情况因为我想要检索GC中不存在的属性（例如managedBy）。

我认为我可以启用Chase Referrals并从根域使用BasedDN进行搜索。但看起来推荐与页面查询不兼容（https://support.microsoft.com/en-us/kb/2561166）。我想使用分页查询，因为我想接收所有组，尽管服务器可能存在限制（服务器端的MaxPageSize限制）。

说：解决这个问题我应该独立地通过所有域执行LDAP查询而不使用Chase Referrals吗？或者也许某人有更优雅的解决方案？

Answer 1

KB提供了一些解决方法，但您可能需要遍历域层次结构。关于更优雅的解决方案的问题，您只需将managedBy添加到部分属性集中，然后它就可以在全局目录中使用。