active-directory - LDAP/AD でネストされたグループを取得するには?

Question

特定のユーザーの LDAP ログインに問題があります。これは、LDAP での周期的なグループ割り当て、つまりユーザーがグループ A、B、C、D に割り当てられていることが原因ではないかと考えています。グループ A にはサブグループ E、F、G が含まれ、グループ E には再びグループ A が含まれます。

ユーザーを照会すると、50 以上のグループが割り当てられており、各グループにはさらに多くのグループが含まれている可能性があり、各グループにはさらに多くのグループが含まれている可能性があることがわかります....

私の質問は、各グループに移動して手動で行うのではなく、それらのメイン グループ内のネストされたグループを完全に取得するために実行できるクエリがあるかどうかです。

サーバーはADです

Answer 1

「user1」がメンバーであるすべてのグループを見つけるには (この回答の適応はAD 検索フィルターを参照):

• ベースをグループ コンテナー DN に設定します。たとえば、ルート DN (dc=dom,dc=fr)
• スコープをサブツリーに設定
• 次のフィルターを使用します: (member:1.2.840.113556.1.4.1941:=cn=user1,cn=users,DC=x)

LDIFDE.EXE の例(Windows のネイティブ コマンド ライン AD 検索):

ldifde -f t.txt -d "DC=dom,DC=fr" -r "(member:1.2.840.113556.1.4.1941:=CN=jblanc,OU=MonOu,DC=dom,DC=fr)"

備考: 私が覚えている限り、括弧内のユーザー DN 名とは構文が少し異なります。「1.2.840.113556.1.4.1941」は W2K3 SP1 では機能しませんが、SP2 で機能し始めます。W2K3 R2でも同じだと思います。ここでは W2K8R2 でテストします。

Apache ディレクトリ スタジオの場合:

結果 ：