通过LDAP执行AD-如何从查询返回所有祖先组?

Active Directory有一个特殊的搜索筛选器选项,允许它通过链接对象(如嵌套组)进行筛选。描述了该能力 here

以下是如何检索组中所有用户(包括嵌套组)的示例:

(&(objectClass=user)(memberof:1.2.840.113556.1.4.1941:={0}))

哪里 {0} 是父组的DN。

当您在目录树中移动时,您需要映射目录树,这样您就可以检查以前是否浏览过DN,某些活动目录包含循环组包含。所以你需要提防它。

这个解决方案也不需要递归。

def getGroupsOfDN(userDN)

     groups = []
     groupsExplored = []
     groupsToExplore = []


     current = userDN
     groupsToExplore << userDN

     while(!groupsToExplore.empty?)


        ldapentry = ldap_lookup(current)

        if (!ldapentry.nil?)
           groups << current
           current_groups = ldapentry.getAttributes("memberOf")
           current_groups.each do |groupDN|
              if(groupsExplored.indexOf(groupDN) != -1)
                 groupsToExplore << groupDN
                 groupsExplored << groupDN
              end
           end
        end

        groupsToExplore.remove(current)
        if (!groupsToExplore.empty?)
           current = groupsToExplore.get(0)            
     end
     return groups
end