Rafael Pfister

LDAP / Active Directory

Benutzer suchen, Bind testen, Root DSE und LDAPS.

Benutzer suchen

Findet einen Benutzer über den sAMAccountName und zeigt Kernattribute (Name, Mail, DN, Gruppen).

Active Directory

Benutzername (sAMAccountName)
jdoe Im Generator ändern →

PowerShell (Windows)

DirectorySearcher (.NET) Bordmittel 

$s = New-Object DirectoryServices.DirectorySearcher
$s.SearchRoot = "LDAP://dc01.example.com/DC=example,DC=com"
$s.Filter = "(sAMAccountName=jdoe)"
"displayName", "mail", "distinguishedName", "memberOf" | ForEach-Object { [void]$s.PropertiesToLoad.Add($_) }
$r = $s.FindOne()
if ($r) { $r.Properties } else { "not found" }

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -b "DC=example,DC=com" "(sAMAccountName=jdoe)" displayName mail distinguishedName memberOf

Unix-Shell (bash)

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -b "DC=example,DC=com" "(sAMAccountName=jdoe)" displayName mail distinguishedName memberOf

curl Zusatztool 

curl -s "ldap://dc01.example.com/DC=example,DC=com?displayName,mail?sub?(sAMAccountName=jdoe)"

Ohne Bind-Angabe läuft die Suche als angemeldeter Windows-Benutzer (integrierte Anmeldung). Linux bringt keinen LDAP-Client von Haus aus mit: ldapsearch (openldap-clients / ldap-utils) oder curl mit LDAP-Support nutzen; bei ldapsearch bei Bedarf -D <Bind-DN> -W ergänzen.

Bind / Anmeldung testen

Prüft, ob sich ein Konto am Verzeichnis anmelden (binden) kann.

PowerShell (Windows)

DirectoryEntry (.NET) Bordmittel 

$de = New-Object DirectoryServices.DirectoryEntry("LDAP://dc01.example.com", "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com", "P@ssw0rd")
try { $null = $de.NativeObject; "bind ok: $($de.distinguishedName)" }
catch { "bind failed: $($_.Exception.Message)" }

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -D "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com" -W -b "" -s base "(objectClass=*)" 1.1

Unix-Shell (bash)

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -D "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com" -W -b "" -s base "(objectClass=*)" 1.1

curl Zusatztool 

curl -s -u "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com:P@ssw0rd" "ldap://dc01.example.com/"

P@ssw0rd durch das echte Passwort ersetzen. -W bei ldapsearch fragt das Passwort interaktiv ab.

Eigener Filter

Führt eine LDAP-Suche mit frei wählbarem Filter aus und listet die gefundenen DNs.

PowerShell (Windows)

DirectorySearcher (.NET) Bordmittel 

$root = New-Object DirectoryServices.DirectoryEntry("LDAP://dc01.example.com/DC=example,DC=com", "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com", "P@ssw0rd")
$s = New-Object DirectoryServices.DirectorySearcher($root, "(&(objectClass=user)(sAMAccountName=jdoe))")
$s.PageSize = 200
$s.FindAll() | ForEach-Object { $_.Properties["distinguishedname"] }

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -D "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com" -W -b "DC=example,DC=com" "(&(objectClass=user)(sAMAccountName=jdoe))" dn

Unix-Shell (bash)

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -D "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com" -W -b "DC=example,DC=com" "(&(objectClass=user)(sAMAccountName=jdoe))" dn

curl Zusatztool 

curl -s -u "CN=svc-ldap,OU=Service Accounts,DC=example,DC=com:P@ssw0rd" "ldap://dc01.example.com/DC=example,DC=com?dn?sub?(&(objectClass=user)(sAMAccountName=jdoe))"

P@ssw0rd durch das echte Passwort ersetzen. Für anonyme Suche den Bind-Teil weglassen.

Root DSE

Liest die Root DSE: Naming Contexts, Hostname und unterstützte LDAP-Version, ohne Anmeldung.

PowerShell (Windows)

[ADSI] RootDSE Bordmittel 

$r = [ADSI]"LDAP://dc01.example.com/RootDSE"
$r.defaultNamingContext; $r.dnsHostName; $r.supportedLDAPVersion; $r.rootDomainNamingContext

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -s base -b "" "(objectClass=*)" +

Unix-Shell (bash)

ldapsearch Zusatztool 

ldapsearch -x -H ldap://dc01.example.com -s base -b "" "(objectClass=*)" +

curl Zusatztool 

curl -s "ldap://dc01.example.com/?+?base?(objectClass=*)"

LDAPS (636)

Prüft die verschlüsselte LDAP-Verbindung und zeigt ihr Zertifikat.

LDAPS (636)

PowerShell (Windows)

SslStream (.NET) Bordmittel 

$h = "dc01.example.com"; $p = 636
$c = New-Object Net.Sockets.TcpClient($h, $p)
$ssl = New-Object Net.Security.SslStream($c.GetStream(), $false, ({ $true }))
$ssl.AuthenticateAsClient($h)
([Security.Cryptography.X509Certificates.X509Certificate2]$ssl.RemoteCertificate) | Format-List Subject, Issuer, NotAfter
$ssl.Dispose(); $c.Close()

ldapsearch Zusatztool 

ldapsearch -x -H ldaps://dc01.example.com:636 -s base -b "" "(objectClass=*)" 1.1

Unix-Shell (bash)

openssl Bordmittel 

openssl s_client -connect dc01.example.com:636 </dev/null 2>/dev/null | openssl x509 -noout -subject -dates

ldapsearch Zusatztool 

LDAPTLS_REQCERT=allow ldapsearch -x -H ldaps://dc01.example.com:636 -s base -b "" "(objectClass=*)" 1.1

Globaler Katalog (3269)

PowerShell (Windows)

SslStream (.NET) Bordmittel 

$h = "dc01.example.com"; $p = 3269
$c = New-Object Net.Sockets.TcpClient($h, $p)
$ssl = New-Object Net.Security.SslStream($c.GetStream(), $false, ({ $true }))
$ssl.AuthenticateAsClient($h)
([Security.Cryptography.X509Certificates.X509Certificate2]$ssl.RemoteCertificate) | Format-List Subject, Issuer, NotAfter
$ssl.Dispose(); $c.Close()

ldapsearch Zusatztool 

ldapsearch -x -H ldaps://dc01.example.com:3269 -s base -b "" "(objectClass=*)" 1.1

Unix-Shell (bash)

openssl Bordmittel 

openssl s_client -connect dc01.example.com:3269 </dev/null 2>/dev/null | openssl x509 -noout -subject -dates

ldapsearch Zusatztool 

LDAPTLS_REQCERT=allow ldapsearch -x -H ldaps://dc01.example.com:3269 -s base -b "" "(objectClass=*)" 1.1

LDAPTLS_REQCERT=allow akzeptiert auch ein nicht vertrauenswürdiges Zertifikat, damit die Verbindung zum Test zustande kommt.

Weitere Bereiche