目錄

簡介

為什麼LDAP組查詢不能與Active Directory一起使用？

簡介

本文檔介紹為什麼LDAP組查詢在郵件安全裝置(ESA)上無法正常工作。

為什麼LDAP組查詢不能與Active Directory一起使用？

為什麼LDAP組查詢在使用絕對屬於指定組的使用者進行測試時不會產生預期結果？

對於使用Microsoft Active Directory的組查詢，必須使用組的可分辨名稱(DN)而不是其公用名稱(CN)。 下面是這兩個專案的一些示例：

一般名稱(CN):

管理員

Phoenix使用者

可分辨名稱(DN):

CN=Administrators， DC=Example， DC=Com

CN=Phoenix-Users， OU=Phoenix， DC=Cisco， DC=Com

如果您不確定DN是什麼，可在Active Directory使用者和電腦中找到此項：

1. 轉到「檢視」選單並選擇「高級功能」

2. 從所需的組對象的屬性中，按一下「屬性編輯器」

3. 滾動到「distinguishedName」屬性，然後按兩下該屬性

4. 應突出顯示完整字串。  按一下右鍵並複製到剪貼簿

一旦您擁有組的DN，則無論何時指定組的名稱，您都可以使用該組。  這包括測試查詢、內容和郵件過濾器，以及郵件策略。

另一種方法是使用以下兩種程式之一來查詢DN:

ADExplorer:

http://technet.microsoft.com/en-us/sysinternals/bb963907.aspx

Softerra LDAP瀏覽器:

http://www.ldapadministrator.com/download.htm

為此使用其中一種工具的一般過程概述如下：

1. 使用LDAP瀏覽工具連線到域控制器

2. 查詢作為組成員的使用者對象

3. 查詢使用者對象的「memberOf」屬性

4. 找到與您嘗試的目標組對應的DN

5. 從此屬性複製目標組的DN