如何从 Active Directory 的子域中 ldapsearch 用户答案

【问题标题】：How to ldapsearch the user from child domain in Active Directory如何从 Active Directory 的子域中 ldapsearch 用户
【发布时间】：2021-09-06 12:52:16
【问题描述】：

我想使用 ldapsearch 在根域的子域中搜索用户。

例如：

root domain: "dc=domain,dc=local"
child domain: "dc=child1,dc=domain,dc=local"

ldapsearch -x -H ldap://x.x.x.x -D "domain\admin" -w "password" -b "dc=domain,dc=local"

我可以从根域搜索用户，但无法从子域搜索用户。

我的最终目标是能够从 Active Directory 的子域中搜索用户。

谢谢

【问题讨论】：

标签： active-directory ldap

【解决方案1】：

为此，您需要联系全局编录。如果您的域控制器是全局编录，您应该能够在端口 3268 上联系它，例如ldap://x.x.x.x:3268

【讨论】：

【解决方案2】：

我认为您要完成的工作至少有两种选择。

'Referral chasing'是 LDAP 搜索操作的参数。在 Active Directory 中执行查询时，您可以指定是否必须处理引荐（指向其他域的链接）。如果启用了引用处理，Active Directory 将在林中的所有域中搜索（AD 中每个域的默认命名上下文包含对林中所有域的引用）。

用法取决于您使用的 ldapsearch 工具。大多数 ldapsearch 实用程序默认启用此功能，但只能匿名追踪引荐。他们应该尝试关注在搜索处理过程中遇到的任何推荐和搜索结果引用，或者推荐和搜索引用将显示在类似于以下内容的输出中：

# search result
> search: 2
> result: 10 Referral
> ref: ldap://adldap.example.com/ou=people,dc=adsc,dc=com??sub
>
> # numResponses: 1

一些工具（以 Apache Studio 为例）会提示输入凭据。

你还需要

另一个选项和建议是查询 Microsoft Active Directory Global Catalog。全局目录是一个 LDAP 存储库，其中包含 AD 域中的所有条目。

该选项取决于您尝试使用 ldapsearch 查找的内容。如果是用户/组信息，我会查看全局目录。

【讨论】：

谢谢，有没有关于如何配置推荐追逐的步骤的链接？