2

使用 Microsoft Active Directory 和 Unboundid SDK，并且有一个成员超过 29k 的组。

我正在尝试利用范围值来获取所有组，但无法确定何时到达终点。

我正在使用这种方法：（更新为工作代码）

  public static List<String> getAttributeRangeBasedSearch(LDAPConnection ldc, String basedn, String filter, int step, String return_attribute) throws LDAPException
{
List<String> allValues = new ArrayList<String>();
// initialize counter to total the group members and range values
int allvalues = 0;
int start = 0;
// int step = 1000;
int finish = step - 1;
boolean finallyFinished = false;
String range;
// loop through the query until we have all the results
while (!finallyFinished)
{
    range = start + "-" + finish;
    String currentRange = return_attribute + ";Range=" + range;
    String range_returnedAtts[] = { currentRange };
    SearchRequest searchRequest = new SearchRequest(basedn, SearchScope.BASE, filter, range_returnedAtts);
    List<SearchResultEntry> rangedEntries = ldc.search(searchRequest).getSearchEntries();
    for (Iterator<SearchResultEntry> iterator = rangedEntries.iterator(); iterator.hasNext();)
    {
    SearchResultEntry searchResultEntry = iterator.next();
    Collection<Attribute> allAttribute = searchResultEntry.getAttributes();
    for (Iterator<Attribute> attributeIterator = allAttribute.iterator(); attributeIterator.hasNext();)
    {
        Attribute attribute = attributeIterator.next();
        log.debug("---> " + allvalues + ": " + attribute.getName());
        if (attribute.getName().endsWith("*"))
        {
        currentRange = attribute.getName();
        finallyFinished = true;
        }
        String[] attributeBatch = searchResultEntry.getAttributeValues(currentRange);
        for (int i = 0; i < attributeBatch.length; i++)
        {
        allValues.add(attributeBatch[i]);
        log.debug("-- " + allvalues++ + " " + attribute.getName() + ":" + attributeBatch[i]);
        }
    }

    }// for SearchResultEntry
    start = start + step;
    finish = finish + step;
}// finallyFinished
return allValues;
}

有任何想法吗？

谢谢-吉姆

4

3 回答 3

2

我得到了工作，但这个过程非常困难，目前我正在为步骤使用硬编码值，因为这可以动态更改从默认值 1,500 到硬编码限制 5,000。

我无法动态确定该值。看起来，也许，如果它没有定义在：CN=Query-Policies,CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,forest root 那么必须是默认值，默认值，也根据使用的 Microsoft Active Directory 版本而有所不同。

MSDN 中还描述了某种可能有帮助的控件，但没有关于如何使用它的信息。有人用过这个吗？

LDAP 策略是使用 lDAPAdminLimits 属性指定的。

queryPolicy 对象的 lDAPAdminLimits 属性是一个多值字符串，其中每个字符串值编码一个名称-值对。在编码中，名称和值用“=”分隔。例如，值为“0”的名称“MaxActiveQueries”的编码是“MaxActiveQueries=0”。每个名称都是 LDAP 策略的名称，值是该策略的值。AD 林中可以有多个 queryPolicy 对象。DC根据以下逻辑确定包含其策略的queryPolicy对象：

  • 如果在 DC 的 nTDSDSA 对象上存在 queryPolicyObject 属性，则 DC 使用它所引用的 queryPolicy 对象。
  • 否则，如果在 DC 所属的 Active Directory 站点的 nTDSSiteSettings 对象上存在 queryPolicyObject 属性，则 DC 使用 Active Directory 站点引用的 queryPolicy 对象。
  • 否则，DC 使用相对于 nTDSService 对象的 DN 为“CN=Default Query Policy,CN=Query-Policies”的 queryPolicy 对象（例如，“CN=Default Query Policy, CN=Query-Policies, CN=Directory Service , CN=Windows NT, CN=Services" 相对于配置 NC 的根目录）。
于 2014-03-13T10:29:37.437 回答
1

这个可以检索并存储在文本文件中任意数量的用户。此外，如果组为空，它将不会在无限循环中完成

$myGroup = [string]$args[0];
$myGroup = $myGroup.replace(" ",",");
$group = [adsi]("LDAP://$($myGroup)");
$from = 0 
$all = $false 

$members = @() 


while (! $all) { 
   trap{$script:all = $True;continue} 
   $to = $from + 999 
   $DS = New-Object DirectoryServices.DirectorySearcher($Group,"(objectClass=*)","member;range=$from-$to",'Base') 
   $members += $ds.findall() | foreach {$_.properties | foreach {$_.item($_.PropertyNames -like 'member;*')}} 
   if($from -gt $members.count){
      break;
   }
   $from += 1000 
} 

$currentExecuting = (Get-Item $MyInvocation.MyCommand.Path)
$group.sAMAccountName
$members | measure-object 

$members > "$($currentExecuting.Directory)\$($group.sAMAccountName).txt"

用法：

getADGroupMembers.ps1 CN=groupName,OU=myOrgUnit,DC=contoso,DC=com
于 2015-04-16T11:45:55.170 回答
0

这是一个非常好的代码示例，您可以在其中按范围获取组的所有成员。当您也在最后一个范围内时，它也会处理这种情况。您还可以在分页请求中转换此方法。看一看。它帮助了我。

try
{
    DirectoryEntry entry = new DirectoryEntry("LDAP://CN=My Distribution List,OU=Distribution Lists,DC=Fabrikam,DC=com");
    DirectorySearcher searcher = new DirectorySearcher(entry);
    searcher.Filter = "(objectClass=*)";

    uint rangeStep = 1000;
    uint rangeLow = 0;
    uint rangeHigh = rangeLow + (rangeStep - 1);
    bool lastQuery = false;
    bool quitLoop = false;

    do
    {
        string attributeWithRange;
        if(!lastQuery)
        {
            attributeWithRange = String.Format("member;range={0}-{1}", rangeLow, rangeHigh);
    }
        else
        {
            attributeWithRange = String.Format("member;range={0}-*", rangeLow);
    }        
        searcher.PropertiesToLoad.Clear();
        searcher.PropertiesToLoad.Add(attributeWithRange);
        SearchResult results = searcher.FindOne();
        foreach(string res in results.Properties.PropertyNames)
        {
            System.Diagnostics.Debug.WriteLine(res.ToString());
    }
        if(results.Properties.Contains(attributeWithRange))
        {
            foreach(object obj in results.Properties[attributeWithRange])
            {
                Console.WriteLine(obj.GetType());
                if(obj.GetType().Equals(typeof(System.String)))
                {
            }
                else if (obj.GetType().Equals(typeof(System.Int32)))
                {
            }
                Console.WriteLine(obj.ToString());
        }
            if(lastQuery)
            {
                quitLoop = true;
        }
    }
        else
        {
            lastQuery = true;
    }
        if(!lastQuery)
        {
            rangeLow = rangeHigh + 1;
            rangeHigh = rangeLow + (rangeStep - 1);
    }
}
    while(!quitLoop);
}
catch(Exception ex)
{
    // Handle exception ex.
}

来源：http ://systemmanager.ru/adam-sdk.en/netds/enumerating_members_in_a_large_group.htm

于 2021-01-27T11:36:30.687 回答