非域内计算机从Active Directory获取用户所属组的技术咨询

你之前尝试的NetUserGetGroups这类Windows网络API依赖于域成员身份或SMB信任关系，非域成员机器没有这个上下文，所以必然失效。而Softerra LDAP Administrator这类工具本质是通过LDAP协议直接与域控制器通信，绕过了机器的域加入状态——这正是你需要的方案，JwaWinLDAP.ldap_search_sW完全可以实现这个需求，下面给你具体的指引：

核心思路 #

非域机器要查询AD用户的组，必须直接通过LDAP协议连接域控制器，用已验证的AD凭据绑定后，执行LDAP搜索获取用户的组成员关系。

具体步骤与代码框架 #

1. 建立并绑定LDAP连接 #

先用你已经实现的AD密码验证凭据，初始化LDAP连接并绑定到域控制器：

var
  hLdap: PLDAP;
  dwError: DWORD;
  szDomain, szUser, szPass: PWideChar;
  szDC: PWideChar; // 域控制器地址，比如'ldap://dc.domain.com'或直接IP
begin
  // 初始化LDAP连接
  hLdap := ldap_initW(szDC, LDAP_PORT);
  if hLdap = nil then
    raise Exception.Create('LDAP初始化失败');

  // 设置连接选项（启用LDAP v3，避免兼容问题）
  ldap_set_optionW(hLdap, LDAP_OPT_PROTOCOL_VERSION, Pointer(LDAP_VERSION3));

  // 用AD凭据绑定（传入你已验证的用户名、密码、域名）
  dwError := ldap_bind_sW(hLdap, szUser, szPass, LDAP_AUTH_SIMPLE);
  if dwError <> LDAP_SUCCESS then
    raise Exception.CreateFmt('LDAP绑定失败: %d', [dwError]);

2. 构造LDAP查询，获取用户组 #

要查询用户所属的组，核心是构造正确的LDAP过滤条件，然后调用ldap_search_sW：

var
  pSearchResult: PLDAPMessage;
  pEntry: PLDAPMessage;
  pAttr: PLDAPAttribute;
  szFilter: PWideChar;
  szAttrs: array[0..1] of PWideChar;
begin
  // 构造过滤条件：查找sAMAccountName匹配目标用户的用户对象
  szFilter := PWideChar(Format('(&(objectClass=user)(sAMAccountName=%s))', [UserName]));
  // 指定要返回的属性：memberOf就是用户直接所属的组的DN
  szAttrs[0] := 'memberOf';
  szAttrs[1] := nil; // 属性数组必须以nil结尾

  // 执行搜索：搜索根为域的完整DN（比如'DC=domain,DC=com'），搜索范围为子树
  dwError := ldap_search_sW(
    hLdap,
    PWideChar(DomainDN), // 域DN需提前获取或用户输入
    LDAP_SCOPE_SUBTREE,
    szFilter,
    szAttrs,
    0,
    @pSearchResult
  );
  if dwError <> LDAP_SUCCESS then
    raise Exception.CreateFmt('LDAP搜索失败: %d', [dwError]);

3. 解析搜索结果，提取组信息 #

遍历LDAP返回的结果，从memberOf属性中提取组的DN，再解析出组名：

// 遍历搜索结果条目
  pEntry := ldap_first_entry(hLdap, pSearchResult);
  while pEntry <> nil do
  begin
    // 获取memberOf属性
    pAttr := ldap_first_attribute(hLdap, pEntry, nil);
    while pAttr <> nil do
    begin
      if WideStrEqual(pAttr^, 'memberOf') then
      begin
        var pValues := ldap_get_valuesW(hLdap, pEntry, pAttr);
        if pValues <> nil then
        begin
          var i := 0;
          while pValues^[i] <> nil do
          begin
            // pValues^[i]是组的完整DN，比如'CN=Developers,OU=Groups,DC=domain,DC=com'
            // 解析出组名（提取CN字段的值）
            var GroupDN := WideString(pValues^[i]);
            var CNStart := Pos('CN=', GroupDN) + 3;
            var CNEnd := Pos(',', GroupDN);
            var GroupName := Copy(GroupDN, CNStart, CNEnd - CNStart);
            Result.Add(GroupName);
            Inc(i);
          end;
          ldap_value_freeW(pValues);
        end;
      end;
      pAttr := ldap_next_attribute(hLdap, pEntry, nil);
    end;
    pEntry := ldap_next_entry(hLdap, pEntry);
  end;

4. 清理资源 #

最后别忘了释放LDAP相关资源，避免内存泄漏：

ldap_free_result(hLdap, pSearchResult);
  ldap_unbind(hLdap);
end;

关键注意点 #

• 域控制器地址与域DN：你可以通过DNS查询自动获取域控制器（比如查询_ldap._tcp.dc._msdcs.你的域名），也可以让用户手动输入；域DN可以从域名转换，比如domain.com对应DC=domain,DC=com。
• 嵌套组查询：如果需要获取用户的所有嵌套组（包括间接所属的组），可以修改过滤条件为(&(objectClass=group)(member:1.2.840.113556.1.4.1941:=<用户的DN>))，这个LDAP匹配规则会递归查询所有嵌套成员。
• 权限问题：确保你用来绑定的AD账号有读取AD用户和组信息的权限，普通域用户默认就有这个权限。

为什么之前的方法失效？ #

• NetUserGetGroups/NetUserGetLocalGroups：这些API依赖Windows网络的SMB协议，需要机器加入域或与域有信任关系，非域机器无法建立这种上下文。
• ADODB.Command：本质是通过ADSI访问AD，而ADSI在非域机器上默认需要机器加入域或配置Kerberos信任，否则容易绑定失败，不如直接用LDAP API灵活。

内容的提问来源于stack exchange，提问作者ralfiii