Comment faire pour récupérer des informations d'utilisateur d'un groupe de sécurité Active Directory en utilisant LDAP et PHP

Question

Comme vous pouvez le voir ci-dessous, je ne reçois aucune information d'utilisateur lorsque je fais une recherche LDAP au groupe de sécurité. Je veux utiliser le $_SERVER[remote_user] pour vérifier si l'utilisateur est membre de ce groupe. Je voudrais également récupérer les informations de cet utilisateur et mettre à jour la base de données sql avec lui. Est-ce possible?

$dn = "CN=Intra,OU=Common Security Groups,DC=mydomain,DC=local"; 
$filter = "(member=*)"; 

$ad = ldap_connect("IP") or die("Couldn't connect to AD!"); 
ldap_set_option($ad, LDAP_OPT_PROTOCOL_VERSION, 3); 
$bd = ldap_bind($ad, "username@mydomain.local", "password") or die("Can't bind to server."); 
$sr = ldap_search($ad,$dn,$filter); 
$entries = ldap_get_entries($ad, $sr); 

print_r($entries);

Retours ceci:

Array 
(
    [count] => 1 
    [0] => Array 
     (
      [objectclass] => Array 
       (
        [count] => 2 
        [0] => top 
        [1] => group 
       ) 

      [0] => objectclass 
      [cn] => Array 
       (
        [count] => 1 
        [0] => Intra 
       ) 

      [1] => cn 
      [description] => Array 
       (
        [count] => 1 
        [0] => Group for (LDAP) INTRANET server access 
       ) 

      [2] => description 
      [member] => Array 
       (
        [count] => 4 
        [0] => CN=Fname1 Lname1,OU=Mail enabled users,OU=Aberdeen,DC=mydomain,DC=local 
        [1] => CN=Fname2 Lname2,OU=Mail enabled users,OU=Forres,DC=mydomain,DC=local 
        [2] => CN=Fname3 Lname3,OU=Houston,DC=mydomain,DC=local 
        [3] => CN=Fname4 Lname4,OU=Mail enabled users,OU=Bergen,DC=mydomain,DC=local 
       ) 

      [3] => member 
      [distinguishedname] => Array 
       (
        [count] => 1 
        [0] => CN=Intra,OU=Common Security Groups,DC=mydomain,DC=local 
       ) 

      [4] => distinguishedname 
      [instancetype] => Array 
       (
        [count] => 1 
        [0] => 4 
       ) 

      [5] => instancetype 
      [whencreated] => Array 
       (
        [count] => 1 
        [0] => 20100711172407.0Z 
       ) 

      [6] => whencreated 
      [whenchanged] => Array 
       (
        [count] => 1 
        [0] => 20100712063949.0Z 
       ) 

      [7] => whenchanged 
      [usncreated] => Array 
       (
        [count] => 1 
        [0] => 17491499 
       ) 

      [8] => usncreated 
      [usnchanged] => Array 
       (
        [count] => 1 
        [0] => 17498823 
       ) 

      [9] => usnchanged 
      [name] => Array 
       (
        [count] => 1 
        [0] => Intra 
       ) 

      [10] => name 
      [objectguid] => Array 
       (
        [count] => 1 
        [0] => 
       ) 

      [11] => objectguid 
      [objectsid] => Array 
       (
        [count] => 1 
        [0] => 
       ) 

      [12] => objectsid 
      [samaccountname] => Array 
       (
        [count] => 1 
        [0] => Intra 
       ) 

      [13] => samaccountname 
      [samaccounttype] => Array 
       (
        [count] => 1 
        [0] => 268435456 
       ) 

      [14] => samaccounttype 
      [grouptype] => Array 
       (
        [count] => 1 
        [0] => -2147483646 
       ) 

      [15] => grouptype 
      [objectcategory] => Array 
       (
        [count] => 1 
        [0] => CN=Group,CN=Schema,CN=Configuration,DC=mydomain,DC=local 
       ) 

      [16] => objectcategory 
      [count] => 17 
      [dn] => CN=Intra,OU=Common Security Groups,DC=mydomain,DC=local 
     ) 

) 

Tout fonctionnait bien quand je la normale DN:

$dn = "OU=Mail enabled users,OU=Bergen,DC=mydomain,DC=local"; 

Mais un expert AD m'a dit que c'était un grand NO -NON et que je devrais utiliser les groupes de sécurité à la place: \

Answer 1

la requête AD comme ceci:

$dn  = "DC=mydomain,DC=local"; 
$group_DN = "CN=Intra,OU=Common Security Groups,DC=mydomain,DC=local"; 
$filter = "(&(objectCategory=user)(memberOf=$group_DN))"; 
// ... 
$sr  = ldap_search($ad, $dn, $filter); 

Jetez un oeil à la MSDN article about the LDAP search filter syntax pour plus d'informations sur les filtres plus complexes.

Veillez à faire attention à la section Caractères spéciaux sur cette page. Une solution correcte doit passer par $group_DN via un mécanisme d'échappement avant de l'utiliser dans la chaîne de filtre! Toujours essayer les filtres de construction aussi spécifiques que possible. Il est plus efficace de laisser le serveur LDAP trier les enregistrements que vous ne voulez pas, au lieu d'avoir plus d'enregistrements transférés sur le réseau que nécessaire et de jeter la moitié d'entre eux sur le client.

Answer 2

Tomalak

Je pense que le problème est que tous les utilisateurs du groupe de sécurité vient de la même unité d'organisation.

Si je change

$dn  = "DC=mydomain,DC=local"; 

à

$dn  = "OU=Bergen,DC=mydomain,DC=local"; 

le filtre fonctionne. Mais j'ai aussi 2 OU de plus avec les utilisateurs.