Qlik连接OpenDJ：如何通过LDAP组筛选获取用户数据

错误尝试分析 #

你之前的两个过滤器都存在逻辑问题：

• 过滤器 (&(objectClass=groupOfNames)(cn=ORG-Reporting))：这是查询组对象本身，返回的是ORG-Reporting组的属性，不是组内的用户数据，所以不会得到用户列表。
• 过滤器 (&(objectClass=inetOrgPerson)(member=cn=ORG-Reporting,ou=people,dc=partners,dc=corp))：逻辑完全颠倒，member属性是存储在组对象中的，用户对象里没有这个属性指向组，所以这个过滤器无法匹配任何用户。

正确实现方式 #

方式一：两步查询（兼容所有LDAP服务器） #

1. 先获取组内所有用户的DN
   使用过滤器查询目标组，提取member属性的所有值（注意补全用户提供的member值末尾截断的部分，比如完整DN应该是uid=usuario1@midominio.com,ou=people,dc=partners,dc=corp）：

   (&(objectClass=groupOfNames)(cn=ORG-Reporting))
   

2. 用用户DN构建过滤器查询用户
   把第一步拿到的所有用户DN拼成OR条件的过滤器，示例：

   (&(objectClass=inetOrgPerson)(|(dn=uid=usuario1@midominio.com,ou=people,dc=partners,dc=corp)(dn=uid=usuario2@midominio.com,ou=people,dc=partners,dc=corp)))
   

方式二：直接反向查询（OpenDJ专属高效方案） #

如果OpenDJ已经配置了memberOf扩展（需要提前启用并建立索引），可以直接用memberOf过滤器查询属于指定组的用户，格式如下：

(&(objectClass=inetOrgPerson)(memberOf=cn=ORG-Reporting,ou=groups,dc=partners,dc=corp))

注意：这里的memberOf值必须是组的完整DN，你需要先确认组的实际存储路径（比如组可能在ou=groups下，而不是ou=people）。

关键注意事项 #

• 调整Qlik的LDAP搜索范围：之前的连接可能只限定在ou=people下搜索，要把搜索范围改为整个目录树（Subtree），这样才能查询到组对象或跨OU的用户。
• 验证账号权限：确保Qlik连接OpenDJ使用的账号有读取组对象member属性、以及读取用户对象的权限。
• 补全完整DN：用户提供的组member值末尾被截断，必须补全为完整的用户DN才能正确匹配。

内容的提问来源于stack exchange，提问作者Rub moy