active-directory - Sitecore Active Directory 间接成员资格

Question

我们有带有 AD 模块 1.0.4 的 Sitecore 6.5。

DEPARTMENT\SitecoreUsers AD 组中的用户可以登录 Sitecore，但 DEPARTMENT\Sitecore_Role1 组中的用户无法登录，即使 DEPARTMENT\Sitecore_Role1 组是 Sitecore_Users 的成员也是如此。

LDAP.IncludeIndirectMembership 设置为 true，所有在 DOMAIN\SitecoreUsers 中具有成员资格的组都显示在角色管理器中。我已尝试将 Sitecore_Role1 角色添加为 sitecore\Sitecore Client Users 的成员，但仍然不允许 Sitecore_Role1 成员登录。

我们所有的 AD 用户都必须添加到他们的 Sitecore_Role 组和 Sitecore_Users 组吗？我认为属于成员组应该允许他们登录到 Sitecore。有人可以让我直截了当吗？

我已经完成了 Sitecore AD 模块管理指南，并认为我已经正确设置了它，但我认为这是需要审查的相关设置。

正在使用的连接字符串是:

<add name="WUDOSISConnectionString" connectionString="LDAP://wudosis.wustl.edu:389/DC=department,DC=ourorg,DC=edu"/>

我们的广告是这样设置的

- Department
    + Groups
        * Sitecore
            - Sitecore_Users
            - Sitecore_Role1 (Member of Sitecore_Users)
            - Sitecore_Role2 (Member of Sitecore_Users)

system.web/membership/prividers、roleManager 和 profile 中的项目都有一个 customFilter = (memberOf=CN=Sitecore_Users,OU=Sitecore,OU=Groups,DC=department,DC=ourorg,DC=edu)

Answer 1

获取 AD 组的后代成员的正确语法是:

(memberof:1.2.840.113556.1.4.1941:=CN=Sitecore_Users,OU=Sitecore,OU=Groups,  
DC=department,DC=ourorg,DC=edu)

如果你想在结果中包含组本身及其成员和成员组的成员，请使用:

(|(&(objectCategory=group)(cn=Sitecore_Users))  
(memberof:1.2.840.113556.1.4.1941:=CN=Sitecore_Users,OU=Sitecore,OU=Groups,  
DC=department,DC=ourorg,DC=edu))

请注意，& 值替换了普通的 & 符号，因为该行包含在站点的 web.config 中，而 & 符号不是有效的 xml 字符。

@JensMikkelsen 的评论让我改变了想法，从 Sitecore AD 模块的工作方式转变为思考 LDAP 过滤器的工作方式。更多关于 stackoverflow 的研究导致了这个 stackoverflow answer它有一些 LDAP 的链接 documentation .额外的谷歌搜索导致更多的 LDAP 语法 documentation .

解决方案的关键是认识到 memberOf 并不像我想象的那样工作。它不是通过组成员向下级联，而是只返回直接成员。为了进一步了解成员资格链，使用 LDAP_MATCHING_RULE_IN_CHAIN 是必要的。看起来像这样:

(memberof:1.2.840.113556.1.4.1941:=(cn=Group1,OU=groupsOU,DC=x))

根据 Jen 关于使用 Active Directory 浏览器计算出正确过滤器的想法，我得到了上面的值。我使用了 Active Directory 浏览器，因为它允许我更改用户和 Active Directory 管理中心，因为它更容易弄清楚如何输入 ldap 过滤器，就像我将它用作 Sitecore AD 模块中的 customFilter 值一样。