被 python-ldap 删除 AD users/groups

Question

如果您在 windows AD 中删除用户或组，它将在 "DElETE objects" 中删除。我想使用 python ldap lib 来获取它们。代码：

<code>
import ldap
uri = "ldap://10.64.74.17"
user = "XXXXXXXXXX"
password = "XXXXXXXXXXXX"
ldap.set_option(ldap.OPT_REFERRALS, 0)
ldap.set_option(ldap.OPT_NETWORK_TIMEOUT, 5)
ldap.protocol_version = 3
ldapClient = ldap.initialize(uri)
ldapClient.simple_bind_s(user, password)
filter = "(&(objectclass=person)(isDeleted=true)(!(objectclass=computer)))"
results = ldapClient.search_s("DC=xx,DC=com", ldap.SCOPE_SUBTREE,filter)
for result in results:
  print result
ldapClient.unbind_s()
</code>

无法显示已删除的对象。这段代码有什么问题？

Answer 1

您需要在搜索中添加 ldap control。它看起来像这样。本质上是为特定操作创建请求控件（在您的情况下，AD 的 OID 是 1.2.840.113556.1.4.417）。然后将一组控件作为可选参数传递给您的搜索请求。

tombstone_control = ('1.2.840.113556.1.4.417',criticality=1)
results = ldapClient.search_s("DC=xx,DC=com", ldap.SCOPE_SUBTREE,filter, [tombstone_control])

我认为这会奏效。您还可以将搜索范围限定为 CN=Deleted Objects, DC=xx,DC=com，因为这是所有已删除对象的最终位置。您应该首先确保已删除的对象在那里。您可以使用ldp.exe来检查。

被 python-ldap 删除 AD users/groups

get deleted AD users/groups by python-ldap

python

ldap