php - 在 PHP 中使用 LDAP 函数获取 Active Directory tokenGroups 属性

Question

问候，

我已经与 AD 建立了有效连接，并且可以从中搜索和检索信息。我什至开发了一种递归方法，通过该方法可以检索给定用户的所有组。但是，如果可能的话，我想避免递归。实现此目的的一种方法是从用户的 AD 中获取 tokenGroups 属性，该属性应该是指定用户具有成员资格的组的 SID 列表，无论该成员资格是直接的还是间接的。

但是，当我搜索用户的 AD 信息时，tokenGroups 属性甚至不在其中。我尝试专门请求该信息(即使用 ldap_search 的第四个参数指定它)，但这也不起作用。

谢谢，大卫·基斯

---

Answer 1

解决了我自己的问题，并认为我应该将答案放在这里，以便其他人可以找到它。问题在于使用 ldap_search() 函数。答案是使用 ldap_read() 函数而不是 ldap_search()。区别在于请求的范围。搜索函数使用“子”范围(即子树)，而读取函数使用“基”范围。 tokenGroups 信息只能在使用“base”范围时找到，因此使用正确的 PHP 函数是关键。

正如我上面提到的，我正在使用 Perl 中的其他人代码来创建我的解决方案，而 Perl 脚本使用名为“search”的函数来执行 LDAP 请求，这导致我走上了错误的道路。

感谢那些看过这个问题的人!

--

根据评论中的请求，以下是代码中解决方案的基础知识。我正在从我使用的一个对象中提取数据，因此这可能不是 100%，但也很接近。另外，在此片段中未声明的变量(例如 $server、$user、$password)需要您自行弄清楚；无论如何，我不会知道你的 AD 凭据!

$ldap = ldap_connect($server);
ldap_bind($ldap, $user, $password);
$tokengroups = ldap_read($ldap, $dn, "CN=*", array("tokengroups")));
$tokengroups = ldap_get_entries($ldap, $tokengroups);

此时，$tokengroups 是我们的结果数组。它应该有计数索引以及一些其他信息。要提取实际的组，您需要执行以下操作:

$groups = array();
if($tokengroups["count"] > 0) {
    $groups = $tokengroups[0]["tokengroups"];
    unset($groups["count"]);

    // if you want the SID's for your groups, you can stop here.
    // if you want to decode the SID's then you can do something like this.
    // the sid_decode() here: http://www.php.net/manual/en/function.unpack.php#72591

    foreach($groups as $i => &$sid) {
        $sid = sid_decode($sid);

        $sid_dn = ldap_read($ldap, "<SID=$sid>", "CN=*", array("dn"));
        if($sid_dn !== false) {
            $group = ldap_get_entries($ldap, $sid_dn);
            $group = $group["count"] == 1 ? $group[0]["dn"] : NULL;
            $groups[$i] = $group;
        }
    }
}

这是基础知识。有一个警告:您可能需要与在您的组织中管理 AD 帐户的个人或个人合作。我第一次尝试运行此程序(几年前，所以我的内存有些模糊)，我获得的帐户没有适当的授权来访问 token 组信息。我确信还有其他方法可以做到这一点，但因为我正在为这个特定的解决方案移植其他人的代码，所以我就是这样做的。