active-directory - 当成员属性不起作用时，从活动目录中检索组成员/成员资格

Question

我正在尝试从“域用户”中获取所有组成员。使用 AD 用户 MMC 选项卡时，我得到了很多结果。当使用 ADSI - 不是。以下不按预期工作：

• 通过 LDAP/ADSI 查看组条目的成员属性。当有更多成员时，它只返回 56 个成员。
• 按 memberOf 搜索（仅返回几个条目）
• 按primaryGroup搜索（它不是主要组）
• 通过 tokenGrops 搜索（它是一个构造属性）

任何想法表示赞赏。

Answer 1

（我只是更仔细地阅读并看到你提到它不是主要群体......但我怀疑这就是答案:)）

用户可以通过另一种机制成为组的成员，它由组中用户的 primaryGroupID 属性控制。

如果用户的 primaryGroupID 设置为某个组的某个 RID，则该用户在功能上属于该组，即使他们没有出现在该组的成员属性中。像 ADUC 这样的工具足够明智地寻找这一点。当您在堆栈中稍低一点并通过 LDAP 访问目录时，您需要足够聪明地去寻找它。

您可以对此进行搜索，也可以使用目录中考虑到这一点的构造属性。