如何从导入组中排除 AD OU

How to exclude an AD OU from importing groups

我有一个软件可以从 AD 中的某些 OU 导入组。我有一个 OU，其中有四个嵌套的 OU，我只想从其中三个导入。如何从导入中排除一个 OU？

软件中有一个选项可以使用所谓的过滤器字符串，我一直在使用它来手动输入过滤器以从导入中排除这个 OU。过滤器显然不正确，因为作业从所有 OU 导入。

我想从导入中排除 UAT OU，所以我尝试了以下过滤器：

(&(objectClass=Group)(!(ou:cn:=*_UAT)))

UAT OU 中的所有组都以 _UAT 结尾，这就是我尝试上述过滤器的原因。作业成功 运行 但从所有四个 OU 导入。

我希望导入仅从我嵌套在应用程序 OU 中的四个 OU 中的三个导入 AD 组。

无法仅在查询中执行此操作。没有名为 ou 的属性，这就是您尝试的过滤器不起作用的原因。

从Windows Server 2012开始，有一个名为msDS-parentdistname的属性，它有OU的distinguishedName，但它是一个构造属性，意味着它没有实际存储;它是在被请求时构建的。这意味着您不能在查询中使用它。

有两种方法可以做到这一点：

  1. 将搜索范围更改为 "single level"，这样它就不会搜索任何嵌套的 OU。您将不得不以这种方式分别搜索三个 OU。
  2. 获取全部个结果，搜索后去掉不需要的结果。检查 distinguishedName 是否包含不需要的 OU 的名称，如果是，则丢弃它。