Requête LDAP pour renvoyer tous les groupes dans l'unité d'organisation spécifiée

Question

J'essaie de mettre à jour mon filtre actuellement appliqué au sélecteur de personnes dans SharePoint (WSS). J'utilise stsadm pour mettre le filtre en place.

Quelque chose comme ...

stsadm -o setproperty -url http://webserver:39770 -pn peoplepicker-searchadcustomfilter -pv "(&(userAccountControl=512)(objectCategory=person)(objectClass=user)(memberOf=cn=All Users Group,ou=E-Mail Distribution Lists,dc=domain,dc=com,dc=au))" 

Je sais comment faire cela, mais que vous souhaitez modifier la requête LDAP. C'est ici que j'ai besoin de votre aide.

J'aimerais interroger une unité d'organisation dans AD et y retourner tous les groupes.

En chute en arrière, je pourrais mettre tous les groupes de l'unité d'organisation dans leur propre groupe et juste interroger le groupe à l'aide de la requête suivante ...

(&(memberOf=CN=WSSPeoplePickerGroup,OU=Groups,DC=domain,DC=com,DC=au)(objectCategory=group)) 

... mais je voudrais interroger directement OU si je peux. C'est devenu un os que je ne veux pas abandonner, alors j'espère qu'il y a quelqu'un de plus intelligent que moi là-bas.

Je pense que je dois trouver quelque chose comme la requête suivante. Si je comprends bien cela est connu comme recherche extensible match et ils filtrent sur le «nom» de l'OU, mais j'ai du mal à voir comment je pourrais l'appliquer à ce que je veux (malgré les nombreuses tentatives que j'ai faites), si c'est effectivement l'approche que je devrais prendre.

(&(objectClass=group)(&(ou:dn:=Chicago)(!(ou:dn:=Wrigleyville)))) 

TIA

Answer 1

Si vous voulez rechercher une seule unité d'organisation particulière. Pourquoi ne pas simplement rechercher par le distinguishedName?

Dans votre cas, peut-être quelque chose comme ça.

(distinguishedName=*ou=E-Mail Distribution Lists,dc=domain,dc=com,dc=au) 

qui sera équivalente à la recherche de la distribution de courrier électronique de l'unité d'organisation.

Et aussi userAccountControl = 512 ne signifie pas tous les utilisateurs activés. Il cherche juste pour le compte Normal. Une meilleure façon serait de chercher si le drapeau désactivé est activé.

Utilisez ceci au lieu de userAccountControl = 512 pour trouver tous les utilisateurs qui ne sont pas désactivés.

(!(userAccountControl:1.2.840.113556.1.4.803:=2)) 

fyi.