Active directory 使用LDAP查找组的所有成员，包括跨域成员

因此，这是我的配置（为了简单而简化）：

设置： 我有两个跟单信用证（编号清单供参考）：

DC=one，DC=company，DC=com

DC=two，DC=company，DC=com

在每个小组中，我都有几个小组：

DC=one，DC=company，DC=com

one.company.com\some\folder\group1

one.company.com\some\other\folder\group2

one.comapny.com\some\different\folder\here\group3

DC=two，DC=company，DC=com

two.company.com\some\folder\group4

two.company.com\some\other\folder\group5

然后

group1

是的成员：

• one.company.com\some\other\folder\group2

• one.comapny.com\some\different\folder\here\group3

• two.company.com\some\folder\group4

因此

group1

存在于

one.company.com

DC中，并且是存在于两个DC中的组的成员：

one.company.com

和

two.company.com

问题: 我正在试图弄清楚如何查询

group1

的广告，并在所有DC中获得它所属的所有组

这是我尝试过的各种LDAP调用的结果：

• ；（&（objectCategory=group）（objectClass=group）（name=group1））；姓名、成员；子树

  -返回

  one.company.com

  中的两个组，但不返回

  two.company.com

• ；（&（objectCategory=group）（objectClass=group）（name=group1））；姓名、成员；子树

  -错误（如预期）

• ；（&（objectCategory=group）（objectClass=group）（name=group1））；姓名、成员；子树

  -返回

  two.company.com

  中的1组，但不返回

  one.company.com

  中的组（但不确定原因）

• ；（&（objectCategory=group）（objectClass=group）（name=group1））；姓名、成员；子树

  -返回

  two.company.com

  中的1组，但不返回

  one.company.com

  中的组（但不确定原因）

---

我遇到了完全相同的问题。你有没有想过？我没有。我必须做两个查询——每个DC一个。我有5个域和60k个组。这是很多疑问。我发现属性“members”是复制的，而“memberOf”不是。我需要知道哪些组具有满足特定条件的成员资格，因此我创建了一个LDAP查询，以仅返回作为组成员且满足条件的对象。不幸的是，由于memberOf没有被复制，因此我需要递归地提取每个组的成员资格，并手动将其与标准进行比较。速度较慢，但至少我得到了准确的结果。