15

我正在开发一种从 AD 获取用户详细信息并将其导入另一个系统的工具。我们计划使用 objectSid 作为唯一标识符，但我发现由于某种原因，LDAP 结果中的 objectSid 与 Active Directory 中的不匹配。大多数字节是相同的，但也有一些不同，有时 LDAP 结果的字节数比 AD 中的字节数少。

来自 AD 中用户的 objectSid：

decimal: [ 1,  5,  0,  0,  0,  0,  0,  5, 21,  0,  0,  0, 35, 106, 222, 96, 236, 251, 239, 68, 32, 255, 234, 203, 122,  4,  0,  0]
hex:     [01, 05, 00, 00, 00, 00, 00, 05, 15, 00, 00, 00, 23,  6A,  DE, 60,  EC,  FB,  EF, 44, 20,  FF,  EA,  CB,  7A, 04, 00, 00]

通过 LDAP 结果的同一用户的 objectSid：

decimal: [ 1,  5,  0,  0,  0,  0,  0,  5, 21,  0,  0,  0, 35, 106,  63, 96,  63,  63,  63, 68, 32,  63,  63,  63, 122,  4,  0,  0]
hex:     [01, 05, 00, 00, 00, 00, 00, 05, 15, 00, 00, 00, 23,  6A,  3F, 60,  3F,  3F,  3F, 44, 20,  3F,  3F,  3F,  7A, 04, 00, 00]

似乎任何超过 128 的值在 LDAP 结果中返回为 63/3F。对于另一个用户，LDAP 结果缺少 1 个字节（问号）：

hex from AD:   [01 05 00 00 00 00 00 05 15 00 00 00 23 6A DE 60 EC FB EF 44 20 FF EA CB 88 04 00 00]
hex from LDAP: [01 05 00 00 00 00 00 05 15 00 00 00 23 6A 3F 60 3F 3F 3F 44 20 3F 3F 3F ?? 04 00 00]

这是我用来进行这些测试的代码的主要部分。

final String ldapADServer = "ldap://" + cmdLine.getOptionValue("ldap");
final String bindDN = cmdLine.getOptionValue("u");
final String bindCredential = cmdLine.getOptionValue("p");
final String baseCtxDN = cmdLine.getOptionValue("d");

final Hashtable<String, Object> env = new Hashtable<String, Object>();
env.put(Context.SECURITY_AUTHENTICATION, "simple");
env.put(Context.SECURITY_PRINCIPAL, bindDN);
env.put(Context.SECURITY_CREDENTIALS, bindCredential);
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
env.put(Context.PROVIDER_URL, ldapADServer);
env.put("com.sun.jndi.ldap.trace.ber", System.err);

final LdapContext ctx = new InitialLdapContext(env, null);

final String searchFilter = "(&(objectClass=user) (sAMAccountName=" + accountName + "))";

final SearchControls searchControls = new SearchControls();
searchControls.setSearchScope(SearchControls.SUBTREE_SCOPE);

final StringBuilder builder = new StringBuilder();
final NamingEnumeration<SearchResult> results = ctx.search(baseCtxDN, searchFilter, searchControls);
while (results != null && results.hasMoreElements()) {
    final SearchResult result = results.nextElement();
    builder.append(LdapHelper.getSearchResultDetails(result, ""));
}

logger.info("Search results: {}{}", StringUtils.NEW_LINE, builder.toString());

LdapHelper 简单地遍历所有属性并以格式良好的字符串返回它们。objectGUID 和 objectSid 以十六进制格式打印。

我使用 JRE 6 和 JRE 7 运行测试，结果相同。我们的 AD 服务器是 Window Server 2008 RC2，我尝试使用 AD 端口 389 和 3268。

我现在要研究其他 Java LDAP 库，但我想看看其他人是否遇到过这些问题，或者有人知道为什么会这样以及如何解决它吗？即有没有办法从 AD 中获取正确的值？

4

1 回答 1

7

我现在使用 UnboundID LDAP SDK 完成了相同的操作，它可以正常工作并返回完整且正确的 objectSid 以及 objectGUID。所以这似乎是标准 J2SE 库中的一个错误？

如果有人感兴趣，代码可以做到这一点：

private static void unboundIdLdapSearch(final String ldapADServer, final String bindDN, final String bindCredential, final String baseCtxDN, final String userName) throws LDAPException, Exception {
    final LDAPConnection connection = new LDAPConnection(ldapADServer.substring(0, ldapADServer.indexOf(':')),
        Integer.parseInt(ldapADServer.substring(ldapADServer.indexOf(':') + 1)), bindDN, bindCredential);
    findAccountByAccountName(connection, baseCtxDN, userName);
    connection.close();
}

private static void findAccountByAccountName(final LDAPConnection connection, final String baseCtxDN, final String accountName) throws Exception {

    final String searchFilter = "(&(objectClass=user)(sAMAccountName=" + accountName + "))";

    logger.info("LDAP search filter: {}", searchFilter);

    final SearchRequest request = new SearchRequest(baseCtxDN, SearchScope.SUB, searchFilter);
    final com.unboundid.ldap.sdk.SearchResult result = connection.search(request);
    final int numOfResults = result.getEntryCount();
    final StringBuilder builder = new StringBuilder();
    builder.append("Search returned with ").append(numOfResults).append(" results: ").append(StringUtils.NEW_LINE);
    for (final SearchResultEntry entry : result.getSearchEntries()) {
        builder.append(LdapHelper.getSearchResultDetails(entry, ""));
    }

    logger.info("Search results: {}{}", StringUtils.NEW_LINE, builder.toString());
}

此外，我碰巧偶然发现了为什么 JNDI LDAP 方法不能正常用于 objectSid 和 objectGUID，并且除了我的 UnboundID 解决方案之外，它还可以正常工作。

首先，我意识到，当我使用返回字符串的“getValue”的 UnboundID 方法时，它还返回了与 J2SE JNDI 版本相同的值，这是当我发现这会将字符串转换为 UTF-8 时导入的值。

然后我碰巧遇到了另一篇博文（http://www.jroller.com/eyallupu/entry/java_jndi_how_to_convert）以及这个页面：http ://docs.oracle.com/javase/jndi/tutorial/ldap/杂项/attrs.html。因此，为了正确获取 objectSid 和 objectGUID，所需要做的就是通过将空格分隔的属性名称列表添加到 LDAP 上下文的映射中，将它们添加到二进制属性列表中：

env.put("java.naming.ldap.attributes.binary", "objectSid objectGUID");
于 2012-11-05T21:37:02.627 回答