配置Active Directory过滤器同步MySQL：获取指定日期后更新用户遇阻求助

我之前在做AD到MySQL的用户同步时，也踩过类似的过滤坑，给你几个实用的排查和解决思路：

• 别把uSNChanged当日期用！
  这是最常见的误区：uSNChanged是AD内部的整数类型更新序列号，每次对象修改都会递增，它和日期时间没有直接的格式对应。你直接拿日期字符串和它比较，自然会返回0结果。如果你的核心需求是按更新日期过滤用户，优先用whenChanged这个标准日期属性。

• 正确使用whenChanged构建过滤器
  AD的whenChanged属性支持ISO格式的UTC日期字符串，你可以这样写过滤器：

  (&(objectCategory=person)(objectClass=user)(whenChanged>=20240101000000.0Z))
  

  格式说明：YYYYMMDDHHMMSS.0Z，其中20240101000000.0Z代表2024年1月1日0点UTC时间。如果要用本地时间，也可以调整格式，但推荐用UTC避免时区问题。

• 如果一定要用uSNChanged（精准变更追踪）
  如果你因为业务需要必须用uSNChanged，得先获取目标日期对应的基准序列号：

  1. 先找到一个已知在目标日期前后修改过的AD用户，查询它的uSNChanged值（可以用PowerShell：Get-ADUser -Identity username -Properties uSNChanged）
  2. 用这个数值构建过滤器，比如：

     (&(objectCategory=person)(objectClass=user)(uSNChanged>=123456))
     

  注意：uSNChanged是域控制器本地属性，不同DC的序列号可能不一致，要确保查询和同步用的是同一个DC。

• 快速验证过滤器的小工具
  用Windows自带的ldp.exe或者PowerShell来测试你的过滤器是否有效：

  • PowerShell测试命令：

    Get-ADUser -Filter {whenChanged -ge '2024-01-01'} -Properties whenChanged,uSNChanged
    

    如果这个命令能返回结果，说明过滤器逻辑没问题，问题可能出在你的同步脚本/工具上。

• 同步工具的额外检查
  如果你用的是第三方同步工具，要确认：

  • 工具是否支持LDAP的日期比较语法
  • 是否需要对日期格式做特殊转换
  • 工具有没有缓存旧的查询结果，记得清空缓存后再测试

内容的提问来源于stack exchange，提问作者Rachid B.