La requête LDAP ne fonctionne pas pour le groupe Domain Users

Question

Je lance une requête (memberof=CN=Domain Users,DC=MYDOMAIN, DC=MYCOM)

mais le résultat est nul, la même requête pour d'autres groupes donne des résultats.

Answer 1

Si j'ai bien compris, lorsque vous créez un utilisateur, il est par défaut membre de Domain Users . Vous ne pouvez pas le voir dans le memberOf mais vous pouvez le voir dans l'attribut primaryGroupID (513=(GROUP_RID_USERS)) . Vous ne pouvez pas le supprimer à moins d'ajouter un groupe et d'en faire le primaryGroup pour un utilisateur donné.

Une commande comme la suivante peut vous permettre de construire la liste des personnes appartenant à Domain Users .

ldifde -f file.ldf -d "ou=Monou,dc=dom,dc=fr" -r "(&(objectclass=user)(|(primaryGroupID=513)(memberOf=CN=Utilisateurs du domaine,CN=Users,DC=dom,DC=fr)))"

Soyez prudents

1. Ici, les noms français sont utilisés ("Utilisateurs du domaine"="Domain Users").
2. sur mon Windows 2008 R2 JE DOIS COURIR la commande ldifde comme Administrator pour pouvoir filtrer sur memberOf attribut.

Changement de groupe primaire.

Il n'y a qu'un seul groupe primaire. Vous pouvez changer de groupe primaire. Pour cela, vous devez ajouter l'utilisateur à un autre groupe et le rendre primaire. Le groupe primaire sera alors remplacé par le RID de l'autre groupe.

Ici, le groupe primaire est MonGroupe .

Vous pouvez voir le RID lorsqu'il est sélectionné comme groupe primaire.

Answer 2

Oui, c'est un problème connu. Les Domain Users est généralement ce que l'on appelle le groupe par défaut pour les nouveaux utilisateurs. Ce nom de groupe, pour quelque raison que ce soit, n'est pas ajouté à la liste normale des groupes dont un utilisateur est membre - il s'agit toujours d'un cas spécial désordonné qui doit être traité séparément.

Voir Technet Groupes AD par défaut pour plus d'informations.

Je ne pense pas qu'il y ait de solution simple pour que cela fonctionne, malheureusement....