Active directory LDAP查询，以获取给定用户已授予的所有OU权限

我不确定这是否可行，但我希望通过LDAP从AD中的给定OU获取以下子OU：

获取所有可管理的OU（设置密码、编辑 用户或组（或其他）由给定的用户X

---

要获得OU，我可以按

（objectClass=organizationalUnit）

进行筛选，但我如何按管理权限进行筛选，有没有办法？

我认为这是不可能的。管理权限存储在属性的DACL中。为了执行访问检查，您必须评估DACL中的每个ACE，因为拒绝特朗普允许。您还必须了解用户所属的每个组，这需要用户自己对属性（或登录令牌）进行查询。我看不出如何使用构造LDAP查询来考虑ACL的所有复杂性