通过python ldap获取已删除的广告用户/组

Question

如果你在windows广告中删除一个用户或组，它将出现在“删除对象”中。我想使用python ldap库来获取它们。代码：

<code>
import ldap
uri = "ldap://10.64.74.17"
user = "XXXXXXXXXX"
password = "XXXXXXXXXXXX"
ldap.set_option(ldap.OPT_REFERRALS, 0)
ldap.set_option(ldap.OPT_NETWORK_TIMEOUT, 5)
ldap.protocol_version = 3
ldapClient = ldap.initialize(uri)
ldapClient.simple_bind_s(user, password)
filter = "(&(objectclass=person)(isDeleted=true)(!(objectclass=computer)))"
results = ldapClient.search_s("DC=xx,DC=com", ldap.SCOPE_SUBTREE,filter)
for result in results:
  print result
ldapClient.unbind_s()
</code>

它无法显示已删除的对象。这个代码怎么了？

Answer 1

您需要在搜索中添加ldap控件。看起来像这样。基本上为特定操作创建请求控制（在您的例子中，AD的OID是1.2.840.113556.1.4.417）。然后将一组控件作为可选参数传递给搜索请求。

tombstone_control = ('1.2.840.113556.1.4.417',criticality=1)
results = ldapClient.search_s("DC=xx,DC=com", ldap.SCOPE_SUBTREE,filter, [tombstone_control])

我想那会管用的。您还可以将搜索范围扩大到CN=Deleted Objects，DC=xx，DC=com，因为所有删除的对象都会在这里结束。你应该确保你删除的对象首先在那里。您可以使用ldp。exe进行检查。