Active Directory：跟踪大型组成员身份更改

Question

我正在编写用于同步Active Directory中的用户和组的应用程序。 具体来说，我需要跟踪其ID，DN和组成员身份，并将其保存到本地数据库中。

我很害怕member属性，就像它的。

据报道，生产环境的成员超过了400万，Microsoft可伸缩性测试达到了5亿。

如何跟踪这种巨大的多值属性的变化？

我正在使用LDAP，UnboundID SDK。

1. 是否可以查询属性值计数？
2. 是否有可能知道多值属性是否在不阅读的情况下进行了更新？
3. 如何使用DirSync方法获得与USNChanged类似的迭代更新？

---

这就是我所知道的

如can possibly have millions of values中所述，有三种同步方法：

• USNChanged-最兼容的方式。
• DirSync-在管理权限附近必需，只能同步整个域（分区），无法同步任意子树。仅返回更新的属性，可以迭代更新多值属性。
• Change Notifications-异步搜索请求，范围可以是BASE或ONE_LEVEL，每个连接最多可以进行5个搜索。每次更改都会发送整个对象。

我正在实施USNChanged，建议您这样做。

---

microsoft docs。