使用 LDAP 过滤器排除默认用户答案

【问题标题】：Excluding Default Users with LDAP filter使用 LDAP 过滤器排除默认用户
【发布时间】：2020-01-30 12:56:57
【问题描述】：

0: "Exchange Online-ApplicationAccount"
1: "SystemMailbox{1f05a933-9ad6-4643-8c81-a99f111d5a14}"
2: "SystemMailbox{b3558c35-97f1-4cb9-8ff7-d5374122228c}"
3: "SystemMailbox{e2dc1c29-89c3-4034-b678-e6c29d823ed9}"
4: "DiscoverySearchMailbox {D919B115-46A6-415f-80AD-7E093333BB852}"
5: "Migration.8f3e7716-2011-43e4-9221-aba62d229136"
6: "FederatedEmail.4c1f4d8b-8179-4338-93bf-00a95fa1e042"
7: "SystemMailbox{D0E409A0-AF9B-4440-92FE-AAC869B0D201}"
8: "SystemMailbox{2CE34115-31BE-455D-89D7-A7C7DA7A0DAA}"
9: "SystemMailbox{8cc37553-822a-4ab8-a926-bb94bd0641a9}"
10: "Zeynep Demir"
11: "Mustafa Demir"
12: "Ali Demir"
13: "Ayse Demir"
14: "derya"

这些是我通过 ("(objectClass=User)") 使用 ldap 查询但我想过滤前 10 条记录时的用户。

有没有办法用 ldap 过滤默认用户？

【问题讨论】：

使用 AD 用户和计算机中的属性编辑器查看属性，看看是否可以找到只有这些属性共有的属性。然后您可以对其进行过滤。
@GabrielLuci 有一个用于过滤默认组的属性（isCriticalSystemObject），但我无法为用户检测到一个。
如果该属性不适合您，请寻找另一个。只需查看所有属性，找到对所有这些帐户具有共同价值的属性。

标签： python active-directory ldap

【解决方案1】：

这些似乎都是与 Microsoft-Exchange 相关的帐户。它们是在用户容器下创建的如果您手动创建的所有帐户都在单独的单个 OU 结构下，您可以将搜索限制在一个基础上。例如。而不是在基本 DN cn=users,dc=example,dc=com 搜索，而是在 ou=Company,dc=example,dc=com 搜索

或者，使用 not 过滤器从结果集中删除帐户：

(&(objectClass=user)(!(|(cn=DiscoverySearchMailbox*)(cn=ExchangeOnline-ApplicationAccount)(cn=FederatedEmail*)(cn=HealthMailbox*)(cn=Migration.*)(cn=SystemMailbox*))))

这意味着“找到 objectClass 是用户并且 CN 不是用户的所有对象（这个或那个或其他东西）”。

基于子字符串的过滤器会给目录服务器增加一点负载，但新的 Exchange 安装会添加额外的帐户。但是子字符串搜索避免了需要随时修改过滤器，例如 SystemMailbox 对象的集合发生变化。

【讨论】：