使用UnboundID LDAP SDK为IM-LDAP添加LDAP属性问题求助

你已经成功搞定sAMAccountName的配置，接下来咱们重点解决memberOf提示未定义的问题，一步步来梳理：

1. 正确定义memberOf的LDAP Schema条目 #

memberOf在Active Directory中有标准的OID和属性配置，你需要在LDIF中添加对应的attributeTypes条目，尽量和AD官方定义对齐，避免兼容性问题：

attributeTypes: ( 1.2.840.113556.1.4.223 NAME 'memberOf' 
  DESC 'Distinguished Name of a group object' 
  EQUALITY distinguishedNameMatch 
  SYNTAX 1.3.6.1.4.1.1466.115.121.1.12 
  MULTI-VALUE 
  USAGE directoryOperation )

这里的关键细节：

• 使用AD官方OID 1.2.840.113556.1.4.223，避免自定义OID引发的冲突
• 语法指定为DN类型（1.3.6.1.4.1.1466.115.121.1.12），和distinguishedNameMatch匹配规则对应
• 必须加上MULTI-VALUE，因为用户可以同时属于多个安全组

2. 更新匹配规则作用范围（可选但推荐） #

如果需要让distinguishedNameMatch匹配规则支持memberOf属性，更新你的matchingRuleUse条目：

matchingRuleUse: ( 2.5.13.1 NAME 'distinguishedNameMatch' 
  APPLIES ( creatorsName $ ... $ sAMAccountName $ memberOf ) )

3. 确保Schema加载顺序正确 #

LDAP Schema的加载有严格顺序要求：必须先添加memberOf的attributeTypes，再更新simulatedMicrosoftSecurityPrincipal对象类。你的对象类定义已经包含MAY memberof，但要确保属性定义在前，同时统一属性名大小写（LDAP不区分大小写，但保持一致更稳妥）：

objectClasses: ( 2.5.6.24 NAME 'simulatedMicrosoftSecurityPrincipal' 
  DESC 'MSSecurityPrincipal' 
  SUP top 
  AUXILIARY 
  MUST sAMAccountName 
  MAY memberOf )

4. 验证Schema加载结果 #

导入LDIF后，用UnboundID SDK确认属性是否成功加载：

Schema schema = connection.getSchema();
AttributeType memberOfAttr = schema.getAttributeType("memberOf");
if (memberOfAttr != null) {
    System.out.println("memberOf属性已成功加载: " + memberOfAttr.getName());
} else {
    System.out.println("memberOf属性未找到，请检查Schema导入流程");
}

5. 重新导入用户条目 #

确认Schema加载无误后，再导入你的AD模拟条目：

dn: cn=Smith\,John,ou=User Accounts,dc=ACME,dc=CORE,dc=INT
changetype: add
objectClass: person
objectClass: organizationalPerson
objectClass: simulatedMicrosoftSecurityPrincipal
cn: Smith,John
sn: JohnS
sAMAccountName: JohnS
userPassword: johnspasswd
memberOf: ou=Service Accounts,dc=ACME,dc=CORE,dc=INT

这次应该不会再出现memberOf未定义的错误了。

额外注意事项 #

• 确认IM-LDAP允许Schema修改：部分LDAP服务器默认禁止Schema变更，需要在服务器配置中开启修改权限
• 检查LDIF格式：多行属性需要用空格缩进后续行，括号和符号要符合LDIF语法规范
• 保持属性名一致性：统一使用memberOf而非memberof，能避免潜在的识别问题

内容的提问来源于stack exchange，提问作者Serg M Ten