AD用户所属组查询性能优化求助：conn.search_s执行过慢

针对你遇到的conn.search_s()查询耗时过长的问题，以下是具体的优化方案：

1. 缩小搜索范围与精准定位 #

• 指定用户所在OU作为搜索基：将LDAP_BASE从域根dc=mydomain,dc=local改为用户实际所在的组织单元（OU），比如OU=Users,dc=mydomain,dc=local，避免遍历整个域目录树。
• 使用SCOPE_BASE替代SCOPE_SUBTREE：如果能先获取到用户的distinguishedName（DN），直接以该DN为搜索基，用SCOPE_BASE仅查询用户自身对象，无需遍历子树。

2. 优化查询过滤器与返回限制 #

• 明确对象类过滤：在过滤器中添加objectClass=user，帮助AD快速定位用户对象，避免无关条目扫描，过滤器改为：'(&(objectClass=user)(userPrincipalName='+USERNAME+'))'。
• 设置返回条目限制：添加sizelimit=1参数，让AD找到第一个匹配结果后立即停止搜索，减少不必要的遍历。

3. 配置LDAP协议优化选项 #

• 启用LDAPv3协议：AD对LDAPv3支持更高效，需显式设置协议版本。
• 关闭引用跟随：AD返回的引用通常无需处理，关闭后可避免额外耗时。

4. 检查AD服务器属性索引 #

确保userPrincipalName属性在AD中已启用索引（默认已开启），若索引丢失会导致全表扫描，可通过ADSI Edit或AD管理工具验证索引状态。

优化后的示例代码 #

import ldap

BIND_ADDRESS = "192.168.0.1"
USERNAME = "my.name@mydomain.local"
PASSWORD = "myPassword"
# 改为用户所在OU，缩小搜索范围
LDAP_BASE = "OU=Users,dc=mydomain,dc=local"

conn = ldap.initialize("ldap://" + BIND_ADDRESS + ":389")
# 启用LDAPv3
conn.protocol_version = ldap.VERSION3
# 关闭引用跟随
conn.set_option(ldap.OPT_REFERRALS, 0)

conn.simple_bind_s(USERNAME, PASSWORD)

# 优化过滤器，添加对象类限制，设置返回条目数为1
result = conn.search_s(LDAP_BASE,
                        ldap.SCOPE_SUBTREE,
                        '(&(objectClass=user)(userPrincipalName='+USERNAME+'))',
                        ['memberOf'],
                        sizelimit=1)

# 进一步优化：如果需要更极致速度，可先获取用户DN再用SCOPE_BASE查询
if result:
    user_dn = result[0][0]
    member_of_result = conn.search_s(user_dn, ldap.SCOPE_BASE, '', ['memberOf'])
    print(member_of_result)
else:
    print("用户未找到")

conn.unbind_s()

内容的提问来源于stack exchange，提问作者Jirka RCK