Active directory 显示字段msds memberOfTransitive和msds memberTransitive的值时出错

我们正在尝试将LDAP查询中的所有用户信息返回到Microsoft Active Directory 2012服务器

首先，我们从模式中获取所有属性（包括msds memberOfTransitive和msds memberTransitive），然后进行查询，请求所有属性

我们已将此问题缩小到使用以下参数执行LDAP搜索：
-范围：下一级（如果容器中有元素）或子树
-请求msds memberOfTransitive或msds memberTransitive属性

复制错误的示例查询：

ldapsearch -D "CN=Administrator,CN=Users,DC=my,DC=dom" -W -b "CN=Users,DC=my,DC=dom" -h 10.0.1.100 -p 389 msds-memberTransitive    

ldapsearch -D "CN=Administrator,CN=Users,DC=my,DC=dom" -W -b "CN=Administrator,CN=Users,DC=my,DC=dom" -h 10.0.1.100 -p 389 msds-memberTransitive -s one

避免错误的示例查询：

ldapsearch -D "CN=Administrator,CN=Users,DC=my,DC=dom" -W -b "CN=Users,DC=my,DC=dom" -h 10.0.1.100 -p 389 msds-memberTransitive    

ldapsearch -D "CN=Administrator,CN=Users,DC=my,DC=dom" -W -b "CN=Administrator,CN=Users,DC=my,DC=dom" -h 10.0.1.100 -p 389 msds-memberTransitive -s one

我假设这是一种避免过度计算“可传递”属性的机制，但我没有发现任何东西

如何进行此搜索（从搜索中删除这些属性）？

看起来像并设置了一组searchFlags:2048，将搜索限制在基本范围内

如果我们查看，就会看到设置searchFlags:fBASEONLY。看看，我们看到：

（仅fBASEONLY，0x0000080）：指定不适用于单个对象的搜索操作不会返回属性。否则将返回设置了此搜索标志的属性的读取操作将失败，并导致operationsError/ERROR\u DS\u NON\u BASE\u search

（同样的情况也适用于） 因此，只有在搜索范围为BASE时，才会返回这些属性

---

解决此问题的唯一方法是使用一个属性循环遍历每个结果，并进行第二次搜索，这将是条目的baseDN和BASE的作用域。

您看到的错误是什么？错误是：

result:1操作错误\n text:00002120:SvcErr:DSID-03120435，问题5012（DIR\u错误），数据592062