问题标签 [active-directory-group]

假设用户 johnsmith 是活动目录组 MyManagers 的成员。假设组 MyManagers 是组 MyEmployees 的成员。假设组 MyEmployees 是组 MyUsers 的成员。

当 johnsmith 登录到我的应用程序时，我怎么知道他是 MyUsers 组的成员？

欣赏 C# 中的示例。

谢谢，克鲁维

我正在尝试在 Glassfish 3.1 上实现 ldapRealm。我可以使用以下配置正常登录，但是我无法正确获得 AD 的组成员身份。我遵循（AD）ldap Realm中的组成员资格包括group-search-filter但仍然无法正常工作。
这是我的 web.xml ：

我还将以下选项添加到 server-config > JVM

Glassfish 的日志条目：

请注意，找到的组成员资格为空。如果需要更多信息，请告诉我。

我们有一个 WPF 应用程序。我们希望根据用户 AD 组成员资格限制对应用程序的访问。

我们可以将其作为每个视图的属性，或者作为用户启动应用程序时的检查吗？

任何代码示例将不胜感激。

一个简单的任务遇到问题...找到不属于本地管理员组的用户并将其删除...

这将返回错误：

但是当我枚举管理员组时，确定 DOMAIN\Domain Users 是一个成员......否则它不会调用 Remove_BadUsers 函数。一定有一些我想念的东西，但我无法弄清楚。

我需要检查当前用户是否是活动目录组的成员。我开始获取当前用户，如下所示。现在我想知道如何检查这个 CurrentUser 是否在活动目录组“CustomGroup”中

我想确定我的安全令牌中所有组的类型。我知道如何通过使用 S.DS（或 S.SD.AM 或 S.DS.P）在 AD 中查找来做到这一点。有没有其他方法，不涉及对 ADSI 的 160 次调用，因为它的性能不完全？:-)

语境

在将成员从 LDAP 服务器导入我们的应用程序时，我们正在添加组成员过滤。

（以前我们从给定的 ldap“基本 DN”导入所有成员；现在管理员可以限制到某些组，即基本 DN 中的成员“Sales”和“HR”）。

我们的应用程序支持：

• SunONE

• 活动目录

此外，我们计划仅支持静态组，不支持动态组。

我们会怎么做

过去，我们会使用两次查找将成员复制到我们的数据库中以实现这一新功能。

1. 在 baseDN 中查找所有成员
2. 查找组名在列表中的所有组（包括成员）（例如“销售”或“人力资源”）。通过 Map 以编程方式跟踪“哪些用户属于哪些组”，即使用“组成员”属性（SunONE 中的“uniqueMember”，ActiveDirectory 中的“成员”）
3. 将 #1 和 #2 的结果相交以获得“要导入的成员”

MemberOf/IsMemberOf 可以减少查询和逻辑吗？

在简短的互联网研究中，我发现 SunONE 和 ActiveDirectory 有一个属性 (isMemberOf/memberOf)，它标识“此用户所属的组”

理论上，我们可以将上述逻辑简化为一个 LDAP 查询：

1. 查找 baseDN 中属于任何组的所有成员

MemberOf/IsMemberOf 可以减少查询和逻辑吗？

知道的问题： - memberOf/isMemberOf 只支持静态组 - 它不支持嵌套组

问题

• 这种使用 memberOf/IsMemberOf 的方法会起作用吗？
• 有什么注意事项吗？
• OpenLDAP 或其他服务器呢？他们都支持这样的属性吗？（我看到 OpenLDAP 有 memberOf “overlay”，但管理员必须明确启用它）

参考

SunOne： http ://docs.oracle.com/cd/E19575-01/820-2763/bcajq/index.html

活动目录：http: //msdn.microsoft.com/en-us/library/ms677943.aspx

相关的 SO 问题： 如何编写 LDAP 查询来测试用户是否是组的成员？

LDAP 中的 memberOf 与 groupMembership (Liferay)

我正在尝试根据我们的本地 Active Directory 对用户进行身份验证。允许访问该站点的所有用户都是 AD 中特定安全组的一部分。

我们的网络配置如下所示：

使用此配置，浏览器会显示 HTTP 错误 401.1

如果您对我所缺少的内容有任何建议，那将是一个很大的帮助。如果您需要更多信息，请询问。

我有一个代码来检查用户是否是组的成员。我在登录时使用它。

请注意我有一个域用户和本地用户，例如。testdomain\administrator和administrator。

这是我使用的代码：

此代码有效，但

正如我所见，在分析器中花费了很多时间。有没有更好/更快的方法来处理这个问题？

另一种方式：

我有一个带有嵌套组的活动目录 (AD) 测试实例：员工（父）和两个子组：主管和工程师。

我看到 AD 扩展 LDAP_MATCHING_RULE_IN_CHAIN 将搜索子树；我可以使用以下查询搜索所有员工用户：

问题：递归搜索，但没有递归结果

但是，我找不到获取“子树搜索结果”的方法，即查询返回“Mister Executive”作为“Employee”，“memberOf”属性只列出“Executives”，即他直接所属的组. 我检查了所有其他属性，没有看到任何“员工”

回顾

因此，最后澄清一下：AD 是否允许以任何方式检索“subtree memberOf”结果以及“subtree”LDAP_MATCHING_RULE_IN_CHAIN ("memberOf:1.2.840.113556.1.4.1941:=") 搜索

提前致谢，