链接服务器 - LDAP - 消息 7321

Question

下面是我尝试使用链接服务器对 LDAP 执行的简短查询：

select * from openquery(ADSI,'')

查询运行良好，除非我将“域控制器：LDAP 服务器签名要求”安全设置更改为“ LDAP 服务器上需要签名”。当我这样做时，我收到以下错误：

消息 7321，级别 16，状态 2，第 1 行

准备查询“”以针对链接服务器“ADSI”的 OLE DB 提供程序“ADSDSOObject”执行时发生错误。

链接服务器 ADSI 是使用域帐户创建的。另外，如果可以的话，我们宁愿不使用 OPENROWSET。

Answer 1

您使用的是 TLS/SSL 吗？

如果您“需要签名”，则必须协商 LDAP 数据签名选项，除非使用传输层安全性/安全套接字层 (TLS/SSL)。

有关详细信息，请参阅 http://support.microsoft.com/kb/823659。

可能不相关，但我注意到没有明确的
'从“LDAP://DC=MyDC,DC=MyOtherDC”中选择*'
在 OPENQUERY 的查询部分

祝你好运

Answer 2

我遇到了这个问题，解决方案是在 SQL 服务器和域控制器之间建立 kerberos 信任，这样它将允许用户凭据传递（也称为双跳）。

我使用“Active Directory 用户和机器”来查找我的 SQL 服务器并添加 SPN，以允许将凭据从 SQL 服务器传递到 LDAP/DC 服务器。

在 SQL Server 中，我的查询看起来与上面显示的查询有些不同：

select sAMAccountName as UserName, displayName, userAccountControl 
from OPENQUERY( ADSI, 'select sAMAccountName, displayName, userAccountControl 
     from ''LDAP://DomainServerName/DC=Domain01,DC=CompanyName01,DC=local'' 
     where objectClass = ''Person''')

我能够使用另一个名为 Softerra LDAP Administrator 的工具构建 LDAP 查询。您展开（深度）直到看到类似 ServerName\DC=Corporation01\OU=Office01\CN=Users\CN=Department 的内容。如果它包含您想要的用户列表，请检查该文件夹的属性，您的 LDAP 查询将出现在标题中。它还可以很好地显示您可以选择或过滤哪些属性。