Filtros para DN. Características y ejemplos

Usuarios

Filtro universal predeterminado:

(|(objectclass=posixAccount)(uid=*)(sAMAccountType=805306368)(&(objectCategory=person)(objectClass=user)))

Solo usuarios habilitados:

(&(|(objectclass=posixAccount)(uid=*)(sAMAccountType=805306368))(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

Todos los usuarios con samaccountname que comience con my:

(&(objectCategory=person)(objectClass=user)(samaccountname=my*))

Todos los usuarios que son miembros de un grupo especificado:

(&(objectCategory=person)(objectClass=user)(memberOf=CN=MyGroup,OU=MyOU,DC=domain,DC=my))

Todos los usuarios que son miembros de un grupo especificado, incluyendo grupos anidados:

(&(objectCategory=person)(objectClass=user)(memberOf:1.2.840.113556.1.4.1941:=CN=MyGroup,OU=MyOU,DC=domain,DC=my))

Grupos

Filtro predeterminado:

(|(objectclass=group)(objectclass=organizationalRole)(objectclass=posixGroup))

Grupos cuya descripción contiene la palabra security:

(&(objectclass=group)(description=*security*))

Grupos que son miembros de un grupo especificado:

(&(objectCategory=group)(objectClass=group)(memberOf=CN=MyGroup,OU=MyOU,DC=domain,DC=my))

Grupos que son miembros de un grupo especificado, incluyendo grupos anidados:

(&(objectCategory=group)(objectClass=group)(memberOf:1.2.840.113556.1.4.1941:=CN=MyGroup,OU=MyOU,DC=domain,DC=my))

Solo grupos de seguridad:

(&(objectCategory=group)(objectClass=group)(groupType:1.2.840.113556.1.4.803:=2147483648))

Solo grupos de distribución:

(&(objectCategory=group)(objectClass=group)(!(groupType:1.2.840.113556.1.4.803:=2147483648)))

Características de los filtros

• Utilizando filtros DN, puede cargar información sobre grupos anidados y usuarios que son miembros de grupos anidados. Al mismo tiempo, las restricciones de grupos y de inicio de sesión se aplican directamente al grupo principal, pero no a los objetos anidados;
• La expresión después de un operador lógico debe estar encerrada entre paréntesis.

Ejemplo:

(!(userAccountControl:1.2.840.113556.1.4.803:=2))

En productos de Microsoft, algunos operadores lógicos a menudo se pueden especificar directamente.

Ejemplo:

(!userAccountControl:1.2.840.113556.1.4.803:=2)

La búsqueda con comodines para grupos no es compatible. Esta es una limitación técnica de la mayoría de los servidores LDAP, por lo que no se puede utilizar un filtro como el siguiente:

(&(objectCategory=group)(objectClass=group)(memberOf=CN=My*,OU=MyOU,DC=domain,DC=my))