关于PrimaryGroupToken属性是否不可变的技术问询

核心关联关系 #

• 用户侧的PrimaryGroupId字段
• 组侧的PrimaryGroupToken属性

用户通过PrimaryGroupId字段与对应组的PrimaryGroupToken属性建立关联。

获取PrimaryGroupToken的两种方式 #

1. 直接读取组的primaryGroupToken属性：

val entry = ldapConnectionPool.getEntry(groupDn, "*", "primaryGroupToken") 
val primaryGroupToken = entry.getAttributeValue("PrimaryGroupToken")

2. 从组的objectSid后缀提取：

val entry = ldapConnectionPool.getEntry(groupDn)
val domainSidBytes = entry.getAttributeValueBytes("objectSid")
val domainSidString = LdapUtils.convertBinarySidToString(domainSidBytes)
val primaryGroupToken = domainSidString.substringAfterLast("-")

PrimaryGroupToken的可变性结论 #

PrimaryGroupToken本质是不可变的。虽然相关文档标记该属性为可更新，但实际操作中无法修改——它是系统在组对象创建时，基于组的objectSid自动生成的固定值，与objectSid的最后一段完全一致。而objectSid是对象创建时就固定的标识符，不会被修改，因此PrimaryGroupToken也不会发生变更。

缓存方案可行性 #

既然PrimaryGroupToken不会变更，你完全可以采用应用级缓存来建立PrimaryGroupId到组条目的映射，无需担心缓存过期或失效的问题。

内容的提问来源于stack exchange，提问作者gstackoverflow