Active Directory组列出了一个成员用户，用户的输入未提及该组

Question

我有组G和用户U。G的条目包括U作为“成员”记录。 U的条目不包括G作为“ memberOf”记录。 （我正在C＃中以编程方式查询条目，并在Softerra LDAP浏览器中查看它们）。有人可以解释这个悖论吗？

Answer 1

memberOf属性不具有权威性。是否在其中列出一个组取决于该组的“范围”。它只会包括：

1. 同一AD林中的通用组
2. 与用户来自同一域的全局组
3. 域本地组与您正在从中读取服务器的域相同（可能与用户不在同一域）

我在an article标题下写的"Beware of memberOf"中对此进行了更为详细的描述。

如果您需要查找memberOf未列出的组，我还写了一篇名为Finding all of a user's groups的代码示例。