AD 用户组过滤答案

【问题标题】：AD User Group FilteringAD 用户组过滤
【发布时间】：2019-10-23 20:22:32
【问题描述】：

我编写了一个 LDAP 查询，该查询会拉取永久组中的所有用户，并排除 Contractors 组中的所有用户。问题是，其中一些承包商需要例外才能拥有一些特权来做像永久组这样的事情。问题是，我无法从永久组和例外组中获取预期用户，并同时排除承包商组中的所有用户。下面是一个应该这样做的查询。

我尝试将两个组（Contractors 和 Exception_Contractors）加在一起，以便只有例外的承包商，因为承包商可以同时属于这两个组。

(&(objectClass=user)
(&(memberOf=CN=Contractors,CN=Users,DC=XYZ,DC=com) 
(memberOf=CN=Exception_Contractors,OU=File Server Groups,OU=GRP,OU=XYZ,DC=INC,DC=com)))

此 LDAP 查询的结果应包括永久 (objectClass=user) 组和 Exception_Contractors 中的所有用户。请进一步告知。谢谢！

【问题讨论】：

标签： active-directory admin active-directory-group

【解决方案1】：

如果我对您的理解正确，您希望查找所有用户，不包括承包商，但包括例外组中的承包商。

我想你正在寻找：

! 运算符，意思是“不”，并且
| 运算符，意思是“或”：

像这样：

(&(objectClass=user)
  (|(!memberOf=CN=Contractors,CN=Users,DC=XYZ,DC=com) 
  (memberOf=CN=Exception_Contractors,OU=File Server Groups,OU=GRP,OU=XYZ,DC=INC,DC=com)))

这意味着：所有不属于承包商组或属于例外承包商组的用户。

附带说明，objectClass=user 不是“组”。它只是意味着“所有用户对象”。（相对于计算机、联系人、OU 对象等）

【讨论】：