如何从导入组中排除AD OU

Question

我有一个软件可以从AD中的某些OU导入组。我有一个其中包含四个嵌套OU的OU，我只想从其中三个导入。如何从导入中排除一个OU？

软件中有一个选项可以使用所谓的过滤器字符串，我一直在使用该字符串手动键入过滤器，以从导入中排除此OU。该过滤器显然是不正确的，因为作业是从所有OU导入的。

我想从导入中排除UAT OU，所以尝试了以下过滤器：

(&(objectClass=Group)(!(ou:cn:=*_UAT)))

UAT OU中的所有组都以_UAT结尾，这就是我尝试上述过滤器的原因。作业成功运行，但是从所有四个OU导入。

我希望导入仅从我嵌套在应用程序OU中的四个OU中的三个中导入AD组。

Answer 1

仅在查询中无法执行此操作。没有名为ou的属性，这就是您尝试使用的过滤器不起作用的原因。

从Windows Server 2012开始，有一个名为msDS-parentdistname的属性，它具有OU的distinguishedName，但是它是一个构造的属性，意味着它实际上并未存储；它是在请求时构造的。这意味着您不能在查询中使用它。

有两种方法可以做到这一点：

1. 将搜索范围更改为“单个级别”，这样它就不会搜索任何嵌套的OU。您将必须以这种方式分别搜索三个OU中的每一个。
2. 获取 all 结果，并在搜索后删除不需要的结果。检查distinguishedName是否包含不需要的OU的名称，如果是，则将其丢弃。