通过 PHP 使用 TRUST 通过 LDAP 对 AD 进行身份验证

Question

我的 php 代码可以按预期工作，使用 LDAP 对 Active Directory 域进行用户身份验证。同一域现在启用了单向信任 - 受信任域中的用户似乎不可见。

名为“mygroup”的示例组，其成员为：

local_dir_1 本地目录2 foreign_dir_1

使用过滤器查询：

(memberof=CN=mygroup,ou=....,dc=...)

返回以下成员：

local_dir_1 local_dir_2

然而，在域控制器内，所有 3 个用户都作为组成员可见。

我假设针对受信任域的用户身份验证失败，因为我有错误的基本 DN 或类似名称，因此想要枚举组成员以更好地了解外部用户的显示方式。

是否有人成功执行 LDAP 搜索并从受信任域中存在的对象获取数据？

Answer 1

如果通过 LDAPS 进行通信，目录可能会提供更多信息（但未经验证），但在直接 LDAP 下，无法访问任何外部目录 samaccountnames。

所有信息均通过 Kerberos 身份验证消息传递可见 - 即，如果您通过 Samba 将 UNIX 服务器加入域，则 Samba 工具具有完全可见性。