AD Filter: Mitglied von

Guten Tag,

ich wollte eine Organisationseinheit mit ca. 800 Usern filtern nach dessen Mitgliedschaft in der Gruppe "Host 2017".
Die OE mit dem Namen "Hosts", in der die Profile eingeordnet sind, ist wiederum in einer anderen OE mit dem Namen "People" verschachtelt.
Der Domänenname ist so aufgebaut: "testdomäne.it-test.de".

Ich bin dieser Anleitung gefolgt und habe dementsprechend folgende benutzerdefinierte Abfrage benutzt bei der Filterung:

(objectCategory=user)(memberOf=CN=Host 2017,OE=Hosts,DC=testdomäne.it-env,DC=de)

Leider bringt diese kein Ergebnis; die OE bleibt komplett leer. Wo könnte der Fehler liegen?

Mit freundlichen Grüßen

PWiesen

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 327821

Url: https://administrator.de/contentid/327821

Ausgedruckt am: 24.11.2024 um 11:11 Uhr

12 Kommentare

Neuester Kommentar

Hi,
OU !
Und ein DC vergessen. Und das &

(&(objectCategory=user)(memberOf=CN=Host 2017,OU=Hosts,DC=testdomäne,DC=it-env,DC=de))

E.

Leider funktioniert dies nicht. OE war auch ein Fehler in meinem Ursprungsbeitrag; wurde natürlich mit OU getestet. Aber genau so adaptiert, wie du dies geschrieben hast, leitet mich der benutzerdefinierte Filter zur Übersicht der Domäne und zeigt, wenn ich wieder auf Hosts gehe keine Benutzer an.

leitet mich die benutzerdefinierte Anfrage bei dem Filter für die Übersicht nur zur Domäne und zeigt, wenn sie auf Hosts gehe keinen Eintrag an.

Kannst Du das bitte mal in Deutsch übersetzen?
Luft holen, Gedanken sortieren, schreiben.

Das tut mir leid; ist jetzt nochmal abgeändert.

Nochmal neu formuliert: Wenn ich deine Lösung als Filter nutze, während ich die entsprechende OE offen habe, wechselt er in die Ansicht der Übersicht der gesamten Domäne. Wenn ich dann wieder in die OE mit dem Filter wechsle, zeigt er keinen Benutzer mehr an.

Zitat von @PWiesen:
wechselt er in die Ansicht der Übersicht der gesamten Domäne.

Normal, weil der Filter über die ganze Domain gelegt wird, nicht nur der aktuellen OU.

Wenn ich dann wieder in die OE mit dem Filter wechsle, zeigt er keinen Benutzer mehr an.

Dann ist der Filter schlicht falsch.

Oben schreibst du

Der Domänenname ist so aufgebaut: "testdomäne.it-test.de".

und im Filter aber DC=it-env,DC=de ??? Flüchtigkeitsfehler?!

Hier geht das nämlich testweise einwandfrei.

Gruß

Dass der Filter über die gesamte Domain gelegt wird, ist klar; soweit auch nicht ungewöhnlich.

Bzgl. dem Domänennamen habe ich das natürlich angepasst. Ich wollte nur verdeutlichen, dass der Domänenname aus drei Teilen besteht.

Kann es denn evtl. sein, dass es zusätzlich eine Angabe enthalten muss, weil die OE ja wie oben bereits erwähnt einer anderen OE untergeordnet ist?

Ach man .... Meinst etwa den Ansicht-Filter in der MMC ADUC?
Falls ja: Wenn man in der MMC die Ansichtsoptionen (dazu gehört auch der Filter) ändert, dann springt er immer auf den Domänenstamm. Das kann man nicht ändern.
Und nein, mann kann keinen Filter setzen, welcher nur bei einer OU angewendet wird. Ein Filter wird für die ganze MMC angewendet.

Wenn Du sowas haben willst, dann solltest Du Dir stattdessen unter "gespeicherte Abfragen" eine Abfrage einrichten, in welcher Du den o.g. Filter verwendst. Aber auch hier kannst Du nicht nach der OU filtern, weil man den distinguishedName nicht im LDAP-Filter verwenden kann. Aber nach "memberOf" geht.

Edit:
Und wie @nachfrage schon schreibt: Wenn er mit diesem Filter in der OU nichts anzeigt, dann ist entweder der Filter falsch oder in dieser OU ist kein Objekt, auf welches der Filter zutrifft.

Zitat von @PWiesen:
Kann es denn evtl. sein, dass es zusätzlich eine Angabe enthalten muss, weil die OE ja wie oben bereits erwähnt einer anderen OE untergeordnet ist?

Nein, nicht nötig. Jeder Container wird hier gleich behandelt egal ob er sich verschachtelt in einer anderen OU befindet. Du musst dich natürlich in diese Sub-OU per Maus bewegen damit du die gefilterten Objekte siehst.
Wie gesagt geht hier so einwandfrei, eventuell AD Out of Sync? Ich vermute aber immer noch einen simplen Flüchtigkeitsfehler.
Mach mal Screenshots, mit wo wie was.

Ansonsten ist wie immer auch die PS dein Freund und Helfer

Get-AdUser -LDAPFilter "(&(objectClass=User)(memberOf=<deinDN>))" -SearchBase "<DN Deiner zu durchsuchenden OU>" | fl  

Leider will es nicht funktionieren.

Mein eigentliches Ziel ist, dass ich alle Benutzer, die dieser Gruppe angehören, einen bestimmten Benutzerprofil- / Basisordnerpfad zuweisen möchte. Gäbe es dort evtl. eine andere Möglichkeit?

Klar gibts die, s.o. Powershell ist dein Freund!

Get-AdUser -LDAPFilter "(&(objectClass=User)(memberOf=<deinDN>))" -SearchBase "<DN Deiner zu durchsuchenden OU>" | Set-ADUser -Replace @{profilePath='\\server\pfad';homeDirectory='blablabla'}  