Buenas lista, quiero hacerles una consulta a ver si alguien me puede ayudar con
este problema que ya no se que hacer, la cuestión es que estoy trabajando en
una empresa y le estoy configurando la clásica restricción
nacional/internacional contra un grupo del Active Directory de Windows y me
esta dando un problema a la hora de obtener a que grupos pertenece un usuario
(el atributo memberOf) esto es lo que estoy haciendo:
Con algunos usuarios me funciona pero con otros no , no se si hay que
configurar en el AD algo para publicar la información de los usuarios o algo de
eso porque, por ejemplo tengo el usuario X en el AD y cuando ejecuto lo
siguiente:
ldapsearch -D "cn=******,ou=****,ou=******,ou=******,dc=diveppr,dc=co,dc=cu" -w **** -p 389 -h ******
-b "ou=*****,dc=diveppr,dc=co,dc=cu" -s sub
"(&(objectclass=user)(Userprincipalname=x...@diveppr.co.cu))"
Me muestra lo siguiente:
=======================================================================================================================
# extended LDIF
#
# LDAPv3
# base <ou=*****,dc=diveppr,dc=co,dc=cu> with scope subtree
# filter: (&(objectclass=user)(Userprincipalname=x...@diveppr.co.cu))
# requesting: ALL
#
# ************, Administradores DivepPR, Diveppr, Divep
pr.co.cu
dn:: Q049QmxhcyBIZXJuw6FuZGV6IEhlcm7DoW5kZXosT1U9QWRtaW5pc3RyYWRvcmVzIERpdmVwU
FIsT1U9RGl2ZXBwcixEQz1EaXZlcHByLERDPWNvLERDPWN1
memberOf: CN=pfSense_admins,OU=pfsense,OU=services,OU=Diveppr,DC=Diveppr,DC=co
,DC=cu
memberOf: CN=usuariosconcorreointernacional,OU=UsuariosConCorreoInternacional,
OU=Diveppr,DC=Diveppr,DC=co,DC=cu
memberOf: CN=KLAdmins,CN=Users,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Grupo Administradores DIVEPPR,OU=Administradores DivepPR,OU=Divep
pr,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Grupo Diveppr,OU=Diveppr,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Group Policy Creator Owners,CN=Users,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Domain Admins,CN=Users,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Enterprise Admins,CN=Users,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Schema Admins,CN=Users,DC=Diveppr,DC=co,DC=cu
memberOf: CN=Administrators,CN=Builtin,DC=Diveppr,DC=co,DC=cu
accountExpires: 9223372036854775807
adminCount: 1
badPasswordTime: 130916643980781250
badPwdCount: 0
codePage: 0
cn:: QmxhcyBIZXJuw6FuZGV6IEhlcm7DoW5kZXo=
countryCode: 0
displayName:: QmxhcyBIZXJuw6FuZGV6IEhlcm7DoW5kZXo=
dSCorePropagationData: 20151103200938.0Z
dSCorePropagationData: 20110601160107.0Z
dSCorePropagationData: 20101123185731.0Z
dSCorePropagationData: 16010102123306.0Z
givenName: **********
instanceType: 4
lastLogoff: 0
lastLogon: 130917293099531250
logonCount: 23410
distinguishedName:: Q049QmxhcyBIZXJuw6FuZGV6IEhlcm7DoW5kZXosT1U9QWRtaW5pc3RyYW
RvcmVzIERpdmVwUFIsT1U9RGl2ZXBwcixEQz1EaXZlcHByLERDPWNvLERDPWN1
objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=Diveppr,DC=co,DC=cu
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: user
objectGUID:: x1TtgD6eWEyG/STU98nZGg==
objectSid:: AQUAAAAAAAUVAAAAa9ZiBCDdczlDFwoyagUAAA==
primaryGroupID: 513
pwdLastSet: 130259993802500000
name:: QmxhcyBIZXJuw6FuZGV6IEhlcm7DoW5kZXo=
sAMAccountName: *****
sAMAccountType: 805306368
scriptPath: mapeoJ.bat
servicePrincipalName: MSSQLSvc/aplications.Diveppr.co.cu:1433
servicePrincipalName: MSSQLSvc/***.Diveppr.co.cu:1433
servicePrincipalName: MSSQLSvc/vivian.Diveppr.co.cu:1433
sn:: SGVybsOhbmRleiBIZXJuw6FuZGV6
userAccountControl: 66048
userPrincipalName: ***@Diveppr.co.cu
uSNChanged: 8404927
uSNCreated: 6910110
whenChanged: 20140312164356.0Z
whenCreated: 20100519224139.0Z
# search result
search: 2
result: 0 Success
# numResponses: 2
# numEntries: 1
========================================================================================================================
O sea un grupo de información incluyendo el atributo memberOf que lo necesito
en la configuración de esa restricción, pero en el AD existen otros usuario que
cuando los agrego a ese grupo (usuariosconcorreointernacional) por el AD, como
por ejemplo el usuario y.
Y les muestro la consulta que hice:
ldapsearch -D "cn=*****,ou=*****,ou=******,ou=******,dc=diveppr,dc=co,dc=cu" -w ******** -p 389 -h
******** -b "ou=*****,dc=diveppr,dc=co,dc=cu" -s sub
"(&(objectclass=user)(Userprincipalname=y...@diveppr.co.cu))"
Y mira lo que me muestra:
=====================================================================================================================
# extended LDIF
#
# LDAPv3
# base <ou=diveppr,dc=diveppr,dc=co,dc=cu> with scope subtree
# filter: (&(objectclass=user)(Userprincipalname=ale...@diveppr.co.cu))
# requesting: ALL
#
# ******, auditoria y control, Usuarios Empresa DivepPR, Diveppr, Dive
ppr.co.cu
dn: CN=*******,OU=auditoria y control,OU=Usuarios Empresa DivepPR,OU=Div
eppr,DC=Diveppr,DC=co,DC=cu
codePage: 0
cn: Aleida Peraza
countryCode: 0
displayName: ********
givenName: ***********
distinguishedName: CN=********,OU=auditoria y control,OU=Usuarios Empresa
DivepPR,OU=Diveppr,DC=Diveppr,DC=co,DC=cu
objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=Diveppr,DC=co,DC=cu
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: user
objectGUID:: PzrPqSBRikugeUmmIRnbLQ==
objectSid:: AQUAAAAAAAUVAAAAa9ZiBCDdczlDFwoymQQAAA==
primaryGroupID: 513
name: ***********
sAMAccountName: ***********
sAMAccountType: 805306368
userPrincipalName: *********@Diveppr.co.cu
# search result
search: 2
result: 0 Success
# numResponses: 2
# numEntries: 1
=================================================================================================================
Si comparan el resultado de esta información con el del usuario anterior, se
darán cuenta de que no se muestra la misma información aunque yo quiero que me
muestre el memberof que es con lo cual yo hago el filtro para que me devuelva
el grupo. Y no me lo muestra.
Resumiendo y mi pregunta, porque si y agrego ese usuario al grupo y hago esa
consulta no me devuelve el memberof de los grupos ??, Creen que haya que hacer
algo en el AD para publicar toda la información de un usuario ??.
Es es muy impostante porque si esa información del usuario no se puede ejecutar
lo de las restricciones porque tengo puesto este filtro:
query_filter =
(&(objectclass=person)(userPrincipalName=%s)(memberOf=CN=usuariosconcorreointernacional,OU=UsuariosConCorreoInternacional,OU=Diveppr,DC=Diveppr,DC=co,DC=cu))
El usuario que me muestra la información pertenece una OU que tiene ciertas
políticas y el resto de los usuarios están organizados por OU según sus
departamentos.
Saludos ...
