active-directory - 将 Active Directory 读取为 LDAP 需要什么权限？

Question

设置:

有一个中央 AD 域(CENTRAL)和多个独立的林，每个林都有自己的域(BRANCH1、BRANCH2、BRANCH3)

CENTRAL 和所有其他域之间存在双向域信任。

我正在处理的应用程序在 CENTRAL 域上运行，并使用凭据 CENTRAL\ldapreader 在所有域上执行 LDAP 搜索。

这对 CENTRAL 和 BRANCH1 非常有效，但 BRANCH2 和 BRANCH3 拒绝连接，并出现无效凭据错误。如果搜索改为使用这些域中的帐户(BRANCH2\ldapreader 等)，则搜索工作正常。

作为 LDAP 服务器读取 AD 需要什么级别的权限？我发现的一切都表明这对于已认证的用户是允许的，由于双向信任，它应该可以与 CENTRAL\ldapreader 一起工作，但这不是我们得到的行为。

Answer 1

我认为您正在寻找的权限是“列出内容”。您应该确保“CENTRAL\ldapreader”对 BRANCH2 和 BRANCH3 具有此权限。

我想知道您是否使用选择性身份验证或林范围身份验证设置信任，以及您是否可以手动浏览 BRANCH2 和 BRANCH3。