LDAP查询不适用于组域用户

Question

我运行查询(memberof=CN=Domain Users,DC=MYDOMAIN, DC=MYCOM)

但它返回零结果，相同的查询如果我为其他组运行则返回结果。

Answer 1

据我了解，当您创建用户时，它默认为Domain Users成员。您无法在memberOf属性中看到它，但您可以在primaryGroupID (513=(GROUP_RID_USERS))中看到它。除非您添加组并将其作为给定用户的primaryGoup，否则不能禁止它。

如下所示的命令可以让您构建属于Domain Users的人员列表。

ldifde -f file.ldf -d "ou=Monou,dc=dom,dc=fr" -r "(&(objectclass=user)(|(primaryGroupID=513)(memberOf=CN=Utilisateurs du domaine,CN=Users,DC=dom,DC=fr)))"

小心

1. 此处使用法语名称（“Utilisateurs du domaine”=“域用户”）
2. 在我的 Windows 2008 R2 我必须运行 ldifde命令为Administrator，以便能够对memberOf属性进行过滤。

更改主要群组。

只有一个主要群体。您可以更改主要组。为此，您将用户添加到另一个组并使其成为主要组。然后，主要组将更改为其他组的RID

主要群组下面是MonGroupe。



当RID被选为主要组时，您可以看到它。

Answer 2

是的，这是一个已知问题。对于新用户，Domain Users通常是所谓的默认组。无论出于何种原因，该组名称都不会添加到用户所属的常规组列表中 - 它始终是一个需要单独处理的特殊情况。

有关详细信息，请参阅Technet AD Default Groups。

不幸的是，我认为没有任何简单的方法可以完成这项工作....