了解 LDAP 过滤器和语法

---

使用 LDAP 筛选从 Active Directory 或 Office 365 快速获取所需的信息。

您可以从 PowerShell 甚至直接在 AD 用户和计算机中使用 LDAP 过滤。 LDAP 过滤器是用于构建报告或进行批量编辑的超级强大工具。

LDAP 过滤器在域控制器的服务器端进行处理。您应该始终在服务器端过滤对象以提高性能。

提示：如果您有许多应用程序对一个巨大的 AD 进行频繁且复杂的查询，您应该指定一个域控制器来处理这些查询。

LDAP 过滤器语法

最简单形式的 LDAP 过滤器仅将 AD 属性名称与值匹配：

属性名称是您在 AD 用户和计算机的“属性编辑器”选项卡中找到的“原始”名称。

属性名称和值不区分大小写。

对于更复杂的查询，以下四个运算符应该可以满足您的大部分需求：

OperatorMeaningSample Expression &And(&(department=sales)(c=us)) |Or(|(department=sales)(department=marketing)) !Not(!description=external) *Wildcard(sAMAccountName=EXT*)

如上面的例子所示&（和）和| (or) 将对嵌套在以下括号中的所有语句执行 and/or。

例如。要查找部门等于“销售”且城市等于“柏林”且国家/地区等于“德国”的所有对象，您将使用以下过滤器：

(&(department=sales)(l=berlin)(c=DE))

只需添加更多括号，您就可以在任意数量的语句上使用 AND 或 OR。

当您开始组合多个 AND 和 OR 运算符时，它很快就会导致更高的复杂性。考虑以下示例 LDAP 过滤器，它标识其描述属性中包含“temp”或“tmp”的所有用户或组：

(&(|(&(objectClass=user)(objectCategory=person))(objectClass=group))(|(description=*temp*)(description=*tmp*)))

为了构建（或解码）复杂的 LDAP 查询，您应该将其分成几行，如下所示：

(&
  (|
    (&
      (objectClass=user)
      (objectCategory=person)
    )
    (objectClass=group)
  )
  (|
    (description=*temp*)
    (description=*tmp*)
  )
)

我们看一下结构：

第 3 - 6 行：

由于 objectClass=user 也返回计算机对象，因此我们需要与 objectCategory=person 进行 AND 操作以仅检索用户对象。

2 - 8 号线：

我们将搜索限制为仅包含用户或组对象。

9 - 12 号线：

我们将搜索限制为描述属性中包含“temp”或“tmp”的对象。

第 1 - 13 号线：

我们通过 AND'ing（用户或组）与（描述中的“temp”或“tmp”）来结束我们的查询

您可能需要尝试几次才能掌握它，但是一旦您创建了第一批 LDAP 查询，您很快就会变得流利 ?

PowerShell 和 LDAP 过滤器

许多 PowerShell get 命令（例如 Get-ADUser）都有 LDAPFilter 开关（要了解有关 Filter 开关的更多信息，请阅读本文）。

LDAPFilter 开关采用LDAP 过滤器查询字符串，并允许您轻松列出符合特定条件的 AD 对象。

以下示例列出了市场部的所有 AD 用户：

Get-ADUser -LDAPFilter '(department=marketing)'

PowerShell 命令 Get-ADUser 会自动将 LDAP 搜索限制为用户对象。

Get-ADGroup 和 Get-ADComputer 对 AD 搜索具有类似的限制作用。

要搜索任何类型的 Active Directory 对象，请改用 Get-ADObject。

AD 用户和计算机以及 LDAP 过滤器

您可以使用 AD 用户和计算机工具来运行 LDAP 查询。这使您可以轻松测试 LDAP 查询。

要测试 LDAP 过滤器，请启动 AD 用户和计算机，右键单击已保存的查询，然后选择新建 -> 查询：

为您的查询命名，根据需要更改搜索范围（查询根），然后单击“定义查询”：

从下拉列表中选择自定义搜索：

单击“高级”选项卡并插入您的 LDAP 过滤器：

然后单击“确定”几次以退出查询编辑器。要查看查询结果，请选择它并单击刷新图标：

看来我们的 LDAP 过滤器示例是成功的，因为在描述中找到了带有“temp”或“tmp”的用户和组。

概括

掌握 LDAP 过滤的基础知识可以为您节省大量时间，并让您高效地检索信息。

要更高效地工作，请查看 Easy365Manager。

Easy365Manager 是 AD 用户和计算机的管理单元，允许您将 Office 365 邮箱和许可证作为标准 AD 管理的一部分进行管理。

Easy365Manager 通过两个新选项卡扩展了用户属性，因此您不再需要在多个工具之间切换来执行日常管理：

想象一下，您不再需要登录 Microsoft 365 管理中心、Exchange Online 管理中心或 Azure 门户来进行日常用户管理。

您甚至可以直接从用户属性同步 Azure AD Connect。

您还可以删除本地 Exchange 服务器以避免未来出现所有零日漏洞。

立即尝试 30 天零风险试用。安装仅需几分钟，我们保证您将在本周末之前节省数小时的工作时间！