过滤掉 LDAP 用户的最佳方法

Question

我正在使用 LDAP - Active Directory 来验证我的项目的用户。

我目前有 2 个登录页面 - 1 个供学生使用，另一个供员工使用。

我已经设法编写了一个身份验证脚本来绑定到 LDAP 服务器 - 这适用于存储在 LDAP 服务器上的所有用户。

现在我希望能够从员工中过滤掉学生，只允许员工通过“员工登录页面”登录。

DN 如下所示：

cn=USERNAME,ou=DEPT,ou=MAS,ou=LAN,o=UNI  <-- STAFF
cn=USERNAME,ou=DEPT,ou=STUDENT,ou=LAN,o=UNI <-- STUDENT

如何过滤掉 ou=STUDENT 或其他内容以阻止学生通过新的教职员工身份验证脚本登录？

谢谢

Answer 1

为防止学生通过新的员工身份验证脚本登录，您只需更改 LDAP 搜索的基础。尽管在整个目录中搜索 UPN，但您还是从 ou=MAS,ou=LAN,o=UNI 搜索 UPN。

使用 LDIFDE.EXE 会给出：

ldifde -f c:\temp\user.ldf -d "ou=MAS,ou=LAN,o=UNI" -r "(userPrincipalName=login)"

因此，如果用户是学生，则搜索不会返回任何内容。

在绝对 LDAP 上，它存在一个名为 ExtensibleMatch 的过滤器语法，允许您这样做，但它在 AD 中确实有效。