ldapquery 为属于名为 X 的组的用户的 Active Directory 服务器

当我在 CentOS 6.4 的 bash 提示符下执行此操作时

ldapsearch -LLL -H ldap://adserver.example.com -x -D [email protected] -w somepass -b 'OU=Users,DC=example,DC=com' '(&(objectClass=person)(sAMAccountName=testuser))'

我明白了

dn: CN=TestUser Surname,OU=Area,OU=Users,DC=example,DC=com
...
objectClass: person
...
cn: TestUser Surname
sn: Surname
...
distinguishedName: CN=TestUser Surname,OU=Area,OU=Users,DC=example,DC=com
...
memberOf: CN=Group1,OU=Area,OU=Users,DC=example,DC=com
memberOf: CN=Gropu2,OU=Users,DC=example,DC=com
...
sAMAccountName: testuser

我只想在 testuser 属于名为 X 的组时得到响应，而不管组 X 在 AD 层次结构中的位置。例如：我想要一个名为 testuser 的用户的数据，该用户是名为 Group1 的组的成员。

我尝试将过滤器更改为：

1. (&(objectClass=person)(sAMAccountName=testuser)(memberOf=CN=Group1*))
2. (&(objectClass=person)(sAMAccountName=testuser)(memberOf=*Group1*))

无济于事。

从上面的输出可以看出，testuser 属于组

1. CN=Group1,OU=Area,OU=Users,DC=example,DC=com
2. CN=Gropu2,OU=Users,DC=example,DC=com。

当我使用过滤器 '(&(objectClass=person)(sAMAccountName=testuser)(memberOf=CN=Group1,OU=Area,OU=Users,DC=example,DC=com))' 时，它可以工作，但我需要一个仅使用组名查询（不使用完整的“路径”）。

有什么办法吗？

我正在尝试这样做，因为我需要使用 Active Directory 定义的组作为 squid（linux 代理）ACL。为此，我需要定义一个外部 ACL 类型，例如

external_acl_type ADGroup %LOGIN /usr/lib64/squid/squid_ldap_group -R -b "OU=Users,DC=example,DC=com" -D [email protected] -w somepass -f "(&(objectclass=person)(sAMAccountName=%u)(memberof=CN=%g,OU=Users,DC=example,DC=com))" -h adserver.example.com

然后使用该类型来定义诸如此类的 ACL

acl ADGroup_Group1 external ADGroup Group1
acl ADGroup_Group2 external ADGroup Group2
...
http_access allow ADGroup_Group1;
http_access deny ADGroup_Group2;

当 squid 检查这个“允许”时，它会将 %u 替换为用户登录名，并将 %g 替换为 ACL (Group1,Group2) 中定义的组名，然后进行上面的 LDAP 查询。

从上面可以看到“http_access allow ADGroup_Group1;” 将按预期工作，但“http_access deny ADGroup_Group2;” 不起作用，因为 Group1 和 Group2 的父 OU 不同。

所以我有3个选择：

1. 查找适用于任何组名的过滤器，无论路径如何（这个问题）
2. 将（可能）所有AD 组移动到同一个 OU（呃……将对象移动到不同的 OU 将给我带来更多的工作，因为我必须重新调整 GPO - 或者至少检查已经定义的 GPO 是否有任何更改这个国王搬家可以带）
3. 为每个带有组的 OU 定义（可能）一个 external_acl_type。（在这种情况下，我将有 N 个外部进程来检查 LDAP 过滤器中的路径更改）