LDAP查询AD安全组成员返回0结果，求问题排查方向

一、LDAP查询语法修正 #

1. 过滤器转义字符错误：你使用的&是HTML转义字符，实际LDAP过滤器需直接用&，正确过滤器应为：

   (&(objectCategory=user)(memberOf=CN=MigratedUsers,OU=Azure Groups,OU=Security Groups,OU=National Organization,DC=abc,DC=firm))
   

2. 基准位置调整：当前基准位置仅限定在OU=Azure Groups下，但目标用户可能不在该OU层级内，建议将基准位置改为域根DC=abc,DC=firm，确保遍历所有用户对象。

二、其他场景排查 #

• 嵌套组处理：若MigratedUsers组包含子组（嵌套结构），默认memberOf仅匹配直接父组，无法递归子组成员。需使用LDAP递归匹配规则，过滤器改为：

  (&(objectCategory=user)(memberOf:1.2.840.113556.1.4.1941:=CN=MigratedUsers,OU=Azure Groups,OU=Security Groups,OU=National Organization,DC=abc,DC=firm))
  

• 组DN正确性验证：先确认组本身是否存在，用过滤器(&(objectCategory=group)(cn=MigratedUsers))、基准位置设为域根查询。若查不到，说明组的DN存在拼写错误（需完全匹配OU层级、域名的大小写与拼写）。
• 权限检查：当前执行查询的AD账号需具备读取用户、组信息的权限，权限不足会导致空结果返回。
• 用户有效性验证：查看MigratedUsers组的member属性，确认其中的用户DN均指向有效用户对象（无已删除或禁用的无效条目）。

三、分步验证建议 #

1. 先查询组本身：用(&(objectCategory=group)(cn=MigratedUsers))+域根基准位置，确认组存在并查看member属性的用户列表。
2. 复制组的完整DN到memberOf过滤器中，避免手动输入错误。
3. 单独查询组内已知用户：用(&(objectCategory=user)(sAMAccountName=目标用户账号))确认用户可被查到，再添加memberOf条件测试。

内容的提问来源于stack exchange，提问作者Xiao Han