2012 R2 - [решено] LDAP поиск в Active Directory из-под обычного пользователя

2012 R2 - [решено] LDAP поиск в Active Directory из-под обычного пользователя

Новый участник

Сообщения: 8
Благодарности: 0

Всем здравствуйте

Сто лет я тут не был, но вот, перерыв весь гугол, решил спросить. Авось кто-то наведет на мысль.
Вопрос не связан напрямую с 2012, просто уровень AD у меня 2012, поэтому пишу здесь.

Входные данные: Домен AD уровня 2012.
Проблема: некорректно отрабатывает поиск по LDAP.

Теперь подробнее.

Есть Некая группа в AD (не встроенная). В ней есть некоторое количество (532) пользователей.
Есть учетная запись с правами обычного пользователя.
И есть учетная запись с правами администратора домена.

Выполняем LDAP поиск с фильтром вида:

Код:

(&(objectClass=user)(objectCategory=Person)(memberOf=CN=Некая группа,OU=Подразделение3,OU=Подразделение2,OU=Подразделение1,DC=domain,DC=ru))

Если выполнять поиск из-под учетки с правами доменного админа, то запрос вернет всех 532 пользователей.
Если же запустить поиск из-под учетки с правами обычного пользователя, то результатом будут 11 пользователей (которые совпадают с 11 первыми пользователями в результатах поиска из-под админской учетки)

Повышать привилегии учетной записи нельзя. Нужно понять, что не дает выполнится поиску корректно.
Я подозреваю, что где-то заданы некорректные права. Вот только где?
Домен достался по наследству, потому одному богу известно, что там до меня понастраивали.

Если кто-то сталкивался, или просто знает куда копать, я был бы благодарен за любьые наводки.

Отправлено: 10:14, 15-04-2021

_VitaliS_

Новый участник

Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать

В общем как всегда.
Как только напишешь в форуме, сразу находишь решение самостоятельно.
Короче.
В чем причина проблемы определить не удалось.
Однако решение найдено.
Для корректной работы поиска LDAP под учетной записью без прав Администратора домена нужно делегировать права на чтение всех атрибутов для этой учетной записи в тех OU, которые участвуют в поиске (в которых располагаются группа и входящие в нее пользователи)

Отправлено: 12:04, 15-04-2021 | #2

Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.

Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2012/2012 R2 » 2012 R2 - [решено] LDAP поиск в Active Directory из-под обычного пользователя