PHP查询Active Directory用户所属组子串过滤器失效问题咨询

Active Directory 子串过滤器不生效原因及解决方案 #

• 关于子串过滤器是否被禁用的问题
  AD不存在全局开关直接禁用所有子串过滤功能，你遇到的问题是AD的属性语法限制导致的：member属于distinguishedName(DN)语法类型的属性，默认不支持任何形式的通配符子串匹配，只能进行完整DN的精确匹配，这是AD的原生设计，不是配置异常。
• 额外测试的(objectClass=gro*)不生效的排查方向
  • 确认你使用的PHP LDAP函数是否正确：ldap_list仅对搜索base下的直接子节点做单层查询，如果你要递归查询所有子OU下的对象，请换成ldap_search函数。
  • 极少数高安全级别的AD域会配置LDAP查询策略，限制可使用的过滤器类型，禁止通配符查询避免数据遍历，这种情况需要联系域管理员确认是否有相关限制。
• 更高效的获取用户所属组的实现方案
  不需要遍历所有组筛选member属性，AD用户对象自带memberOf属性，直接查询对应用户的memberOf即可一次性获取所有所属组的DN，查询性能远高于组遍历过滤，示例代码：

// 先查询用户的完整属性，包含memberOf
$user_result = ldap_search($ldap, 'DC=server,DC=com', '(sAMAccountName=userdp08)', ['memberOf']);
$user_entry = ldap_first_entry($ldap, $user_result);
$groups = ldap_get_values($ldap, $user_entry, 'memberOf');

该方案单域环境下直接可用，跨域场景下需要额外处理全局组的查询逻辑。

• 不推荐的修改方案
  如果强行要对DN类型属性开启子串匹配，需要修改AD对应属性的Schema配置，调整searchFlags位开启子串搜索支持，但该操作会大幅降低域控制器查询性能，甚至引发域服务稳定性问题，微软官方不支持该修改，不建议操作。

内容的提问来源于stack exchange，提问作者Pep