如何编写LDAP查询获取指定OU中isUseless=Yes的用户列表？

没问题，我来一步步给你拆解这个AD查询的解决方案，顺便把你可能困惑的基础概念也掰扯清楚～

一、直接可用的两种查询方式 #

1. PowerShell脚本（Windows环境首选） #

这是最灵活高效的方式，直接复制运行就行（前提是你有域查询权限，且安装了AD模块）：

Get-ADUser -SearchBase "OU=Employees,OU=Users,DC=org,DC=com" -Filter {isUseless -eq "Yes"} -Properties isUseless | Select-Object Name

我给你拆解每部分的作用：

• Get-ADUser：AD专属的用户查询命令，专门用来捞域用户对象
• -SearchBase：限定查询范围到你指定的OU，避免查整个域（效率更高，也不会拿到无关结果）
• -Filter {isUseless -eq "Yes"}：核心过滤条件，只挑isUseless属性值是"Yes"的用户
• -Properties isUseless：划重点！因为isUseless是自定义属性（AD默认用户属性里没有这个），必须显式告诉PowerShell要加载这个属性，不然默认不会返回它的值
• Select-Object Name：只输出你要的CN（AD里用户的Name属性就是CN，也就是你说的user1、user2这类名称）

2. 图形化工具：ldp.exe（适合新手验证） #

如果不想写脚本，用系统自带的图形化工具也能搞定：

• 打开Windows搜索，直接搜ldp.exe启动
• 点击顶部「Connection」→「Bind」，用你的域账号绑定（本地管理员直接点OK就行）
• 点击「View」→「Tree」，输入你的OU路径OU=Employees,OU=Users,DC=org,DC=com，确定进入这个OU的目录树
• 右键点击这个OU，选择「Search」：
  • Search Filter填：(&(objectCategory=person)(objectClass=user)(isUseless=Yes))
  • Scope选「Subtree」（如果这个OU没有子OU，选Base也可以）
  • Attributes里只填cn，这样结果里只会显示你要的用户CN
• 点击「Run」，下方结果栏就会列出所有符合条件的用户CN了

二、你可能困惑的基础概念拆解 #

我猜你查资料时可能对这些术语懵圈，给你直白解释：

• OU（组织单元）：AD里用来分类管理对象的“文件夹”，你指定的OU=Employees,OU=Users,DC=org,DC=com就是专门存员工用户的文件夹，查询时限定范围能避免冗余结果
• CN（通用名称）：AD对象的“显示名称”，用户的CN就是你在AD里看到的user1、user2这类名称，对应PowerShell里的Name属性
• 自定义属性（isUseless）：AD默认用户属性里没有这个，应该是你们域管理员自定义添加的扩展属性，所以查询时必须显式指定加载它（比如PowerShell里的-Properties参数）
• LDAP过滤规则：刚才ldp里用的过滤串是标准LDAP语法：
  • &表示“且”，所有条件必须同时满足
  • objectCategory=person和objectClass=user：用来确保只查用户对象，不会误查到组、计算机这类其他AD对象
  • isUseless=Yes：就是你要的核心过滤条件

三、常见踩坑点排查 #

• 如果PowerShell报错找不到AD模块：去「设置」→「应用」→「可选功能」里添加「Active Directory模块 for Windows PowerShell」（Windows 10/11自带这个可选功能）
• 如果查不到结果：先检查isUseless的拼写是否和AD里的属性名完全一致，另外注意属性值的大小写（比如AD里存的是"yes"而不是"Yes"，就会查不到）
• 先验证OU下的用户列表：可以先去掉过滤条件，运行Get-ADUser -SearchBase "OU=Employees,OU=Users,DC=org,DC=com" | Select-Object Name，确认目标用户确实在这个OU里

内容的提问来源于stack exchange，提问作者Loclat123