用于 distinguishedName EndsWith 的 LDAP 过滤器？

Question

我正在尝试构建一个 LDAP 过滤器，它的工作方式类似于这个简单的 PowerShell 命令：

Get-ADUser -Filter * -Properties Department -SearchBase "OU=Company Users,OU=WorkPlace,OU=contoso,DC=fr" | `
    Where{  (($_.SamAccountName -like "user1") -OR ($_.SamAccountName -like "user2") -OR ($_.SamAccountName -eq "user3")) -OR `
            ($_.Department -like "Dpt1/*") -OR `
            ($_.Department -like "Dpt2/*") -OR `
            ($_.Department -like "*/Svc3/*") -OR `
            ($_.SamAccountName -in (Get-ADGroupMember -Identity "Group1" -Recursive).SamAccountName)
         }

我试图阅读一些示例 here 来制作此过滤器，但我卡住了（dn 错误）：

(&(distinguishedName=*OU=Company Users,OU=WorkPlace,OU=contoso,DC=fr)
(!(employeeNumber=[=11=]))(!(department=[=11=]))
(|(department=Dpt1/*)(department=Dpt2/*)(department=*/Svc3/*)
(sAMAccountName=user1)
(sAMAccountName=user2)
(sAMAccountName=user3))
(objectCategory=person)
(sAMAccountType=805306368))

我如何编写此过滤器以列出具有以 OU=Company Users,OU=WorkPlace,OU=contoso,DC=fr 结尾或位于此 OU 和子 OU 中的 distinguishedName 值的用户？

如果对我需要过滤的用户有帮助：

需要在指定的 OU 或子 OU 中
需要匹配一些 samAccountNames OR Department OR 组的嵌套 memberShip
需要填写一些属性（部门，员工编号，...）

Answer 1

Active Directory 不允许您对作为可分辨名称的任何属性使用通配符（distinguishedName、member、manager 等）。

如果您需要在 OU 和子 OU 中查找对象，请将该 OU 设置为搜索基础，我看到您已经这样做了：-SearchBase "OU=Company Users,OU=WorkPlace,OU=contoso,DC=fr"

用于 distinguishedName EndsWith 的 LDAP 过滤器？

LDAP Filter for distinguishedName EndsWith?

active-directory

ldap-query