active directory - mensaje - consulta LDAP de una sola línea que enumera usuarios de un grupo dentro de un supergrupo

supergrupos telegram

Question

Tengo un esquema que se ve así:

1. Los usuarios existen como UserA, UserB, UserC.
2. Los grupos existen como OverGroup, SubGroup.
3. OverGroup agrega automáticamente nuevos usuarios como UserA, UserB, etc. a su membresía.
4. Subgrupo I creado yo mismo. He configurado OverGroup para que sea miembro de SubGroup.

Quiero poder consultar SubGroup de una sola línea y no recuperar OverGroup, es decir:

Values:  
CN=OverGroup,OU=Groups,DC=example,DC=com

pero la enumeración completa de los usuarios reales (usuario A, B, C) dentro de OverGroup, es decir:

Values:  
CN=UserA,OU=OtherOU,DC=example,DC=com
CN=UserB,OU=OtherOU,DC=example,DC=com
CN=UserC,OU=OtherOU,DC=example,DC=com

¿Hay un filtro LDAP de una sola línea que pueda recuperar esto? (Se colocará en la sección ''ldap'' de la configuración de ExternalAuth en una instancia de Request Tracker. Estoy bastante seguro de que solo puedo hacer esto con una consulta que el módulo ExternalAuth pueda entender).

Todo lo que intento no funciona, y según mi lectura, no parece posible enumerar una lista de usuarios dentro de un grupo que es miembro de otro grupo con una consulta de una línea. ¿Pensamientos?

Answer 1

Active Directory tiene una opción de filtro de búsqueda especial que le permite filtrar a través de objetos encadenados, como grupos anidados. La capacidad se describe aquí .

Aquí hay un ejemplo de cómo recuperar todos los usuarios en un grupo, incluidos los grupos anidados:

(&(objectClass=user)(memberof:1.2.840.113556.1.4.1941:={0}))

donde {0} es el DN del grupo principal.

Answer 2

(&(objectClass=user)(memberof:1.2.840.113556.1.4.1941:=CN=MPV_BedPlacement,OU=Security Groups,OU=Groups,OU=CCHCS,DC=CCHCS,DC=LDAP))

Debe agregar el DN completo para el grupo y sin llaves.