Python+Active Directory：检查用户组归属及相关技术优化问询

1. 检查当前用户是否属于特定AD组（核心疑问） #

当然可以，分两种场景处理：

无嵌套组场景：直接查询目标组成员 #

修改你现有代码的搜索逻辑，直接查询目标组的member属性，对比当前用户DN即可：

# 替换成你的目标组完整DN
TARGET_GROUP_DN = 'CN=你的目标组,OU=***,OU=***,DC=***,DC=***'

# 查询目标组的成员列表
conn.search(TARGET_GROUP_DN, '(objectClass=group)', attributes=['member'])
group_entry = conn.entries[0]

# 判断用户是否在成员列表中
if distinguishedName in group_entry.member:
    print("用户在目标组里，执行后续代码")
    # 这里编写你的业务逻辑
else:
    print("用户不在目标组里")

有嵌套组场景：递归检查从属关系 #

如果目标组包含其他子组（嵌套结构），用AD自带的匹配规则一次性查透所有层级：

TARGET_GROUP_DN = 'CN=你的目标组,OU=***,OU=***,DC=***,DC=***'

# 过滤器含义：检查用户是否是目标组的成员（包括间接嵌套的子组成员）
filter_str = f'(member:1.2.840.113556.1.4.1941:={TARGET_GROUP_DN})'

# 搜索当前用户条目，判断是否匹配规则
conn.search(distinguishedName, filter_str, attributes=['distinguishedName'])
if conn.entries:
    print("用户属于目标组（含嵌套），执行后续代码")
else:
    print("用户不属于目标组")

你原来代码里if distinguishedName == entries:的逻辑错误，entries是搜索结果的生成器，无法直接与字符串DN做比较，上面的写法才是正确的判断方式。

2. 更优方式获取DN和服务器连接信息 #

获取用户distinguishedName #

除了用ctypes调用系统API，还可以直接查询AD获取当前用户DN，可靠性更高：

# 自动绑定后，用当前用户名查询DN
# get_data(8)可获取sAMAccountName（格式如DOMAIN\username）
conn.search('DC=***,DC=***', '(sAMAccountName={})'.format(get_data(8)), attributes=['distinguishedName'])
if conn.entries:
    distinguishedName = conn.entries[0].distinguishedName.value

也可以用pywin32库简化用户信息获取：

import win32security
import win32api

token = win32security.OpenProcessToken(win32api.GetCurrentProcess(), win32security.TOKEN_QUERY)
user_sid = win32security.GetTokenInformation(token, win32security.TokenUser)[0]
user_name, domain_name, _ = win32security.LookupAccountSid(None, user_sid)
# 再用user_name查询DN即可

服务器连接优化 #

不要硬编码服务器地址，让代码自动发现域控制器：

# 用域根DN自动发现域控制器
server = Server('dc=***,dc=***', get_info=ALL, connect_timeout=10)
# 或者直接用域名，比如yourcompany.com
server = Server('yourcompany.com', get_info=ALL)

这样更换域控制器时无需修改代码，适应性更强。

3. 无需存储密码的AD连接方式 #

在Windows域环境中，直接利用当前登录用户的域凭证进行NTLM绑定，完全不需要在代码中存储密码：

# 删除代码中的pw变量，改用以下连接方式
server = Server('yourcompany.com', get_info=ALL)
# NTLM认证会自动使用当前用户的域登录信息连接AD
conn = Connection(server, authentication='NTLM', auto_bind=True)

此方式适用于域内机器运行的脚本，前提是当前用户已登录域，安全且无需硬编码敏感信息。

内容的提问来源于stack exchange，提问作者TimeLost