LDAP查询子域testers组仅返回子域用户，根域用户未匹配问题

我来帮你搞定这个跨域LDAP查询的问题——这其实是Active Directory里memberOf属性的一个常见局限，先给你拆解原因，再给几个可行的解决办法：

• memberOf的域边界限制：memberOf是AD的构造属性，默认情况下，当你在子域inner.lab.local的域控制器（DC）上执行查询时，它只会返回同一域内用户的直接组成员关系。根域lab.local的用户test1虽然被添加到子域的testers组，但子域DC不会同步根域用户的跨域组成员属性，所以查询不到。
• 跨域成员的存储方式：跨域组里的根域用户其实是以**外部安全主体（Foreign Security Principal）**的形式存储的，并非直接的用户对象引用。默认的memberOf查询无法解析这种跨域的链接关系，只会识别同域内的用户引用。

方法1：使用tokenGroups属性替代memberOf #

tokenGroups是一个构造属性，它包含了用户所有有效安全组的SID（包括跨域组），能绕过memberOf的域限制。
你需要先获取testers组的SID（可以在子域DC上用PowerShell命令Get-ADGroup testers -Properties objectSid获取），然后修改查询语句：

(&(objectCategory=user)(tokenGroups=S-1-5-21-xxxxxx-xxxxxx-xxxxxx-xxxxxx))

注意：tokenGroups仅适用于安全组，不适用于通讯组，且需要查询账号有读取该属性的权限。

方法2：在根域DC上使用递归匹配规则查询 #

利用AD的LDAP_MATCH_RULE_IN_CHAIN匹配规则（OID：1.2.840.113556.1.4.1941），可以在根域DC上递归查询跨域的组成员关系，不管用户属于哪个域，只要是该组的直接/间接成员都会被返回。
修改后的查询语句：

(&(objectCategory=user)(memberOf:1.2.840.113556.1.4.1941:=CN=testers,OU=Groups,OU=Domain Resources,DC=inner,DC=lab,DC=local))

这个方法的优势是不需要处理SID，直接使用组的DN即可，同时支持安全组和通讯组。

方法3：通过全局编录（Global Catalog）查询 #

全局编录（GC）存储了森林中所有域的核心属性副本，连接到GC服务器（默认端口3268）执行查询，可以直接获取跨域的组成员信息：

• 连接地址格式：ldap://<GC服务器地址>:3268
• 可以使用memberOf配合递归匹配规则，或者tokenGroups进行查询，效果和方法2类似，但不需要指定特定域的DC。

你可以用PowerShell快速验证结果，比如在根域DC上执行：

Get-ADUser -Filter {memberOf -RecursiveMatch "CN=testers,OU=Groups,OU=Domain Resources,DC=inner,DC=lab,DC=local"} -SearchBase "DC=lab,DC=local" -Server lab.local

这个命令会返回test1@lab.local和test2@inner.lab.local两个用户，证明查询生效。

内容的提问来源于stack exchange，提问作者user3529850