查询Active Directory/LDAP，查找嵌套组织单元中的用户

Question

我正在Windows域（Active Directory）中的TeamCity 7.1.2中配置LDAP身份验证。

基本上它可以工作（我可以用我的域用户登录！），但是整个公司的每个用户都可以登录。
-->现在我试图限制只有开发人员才能访问。

我在TeamCity文档中找到了这个例子：

# filtering only users with specified name and belonging to LDAP group "Group1" with DN "CN=Group1,CN=Users,DC=example,DC=com"
teamcity.users.login.filter=(&(sAMAccountName=$capturedLogin$)(memberOf=CN=Group1,CN=Users,DC=example,DC=com))

CompanyName.de/CompanyName/IT/Entwickler/

“companyname”、“it”和“entwickler”是组织单位。
我理解语法是：

OU=Entwickler,OU=IT,OU=CompanyName,DC=CompanyName,DC=de

当我把它放入TeamCity的配置文件中时，我无法登录，TeamCity将其写入日志文件：

在LDAP中搜索:base='dc=companyname,dc=de',filter='(&(sAMAccountName=myuser)(Memberof=ou=entwickler,ou=it,ou=companyname,dc=de))',scope=2,attributes=[sAMAccountName,distrivishedname]导致错误

和：

用户“myuser”登录失败:javax.security.auth.Login.loginException:[LDAP:错误代码32-0000208d:nameerr:DSID-031001CD，问题2001(NO_OBJECT)，html" target="_blank">数据0，最佳匹配：“dc=companyname,dc=de”

我做错了什么？

注意:
可能我的查询是正确的，这是TeamCity中的一个问题。
（我使用的版本确实有一些关于LDAP的问题，但它们会得到比我更多的错误消息）
也许我会在TeamCity的问题跟踪器上发布这个消息，但在此之前，我想确保错误不会发生，因为我的LDAP查询出错了，因此这里有一个问题。

Answer 1

memberOf正在寻找一个组，而不是一个OU。您应该创建一个组来限制访问，将批准用户添加到组中，并在筛选器中指定组的可分辨名称。您应该注意，简单的'memberof={DN}‘筛选器没有考虑嵌套的组成员身份。

Edit：如果您真的想将它限制在OU中的用户，那么您需要将搜索的基本DN更改为OU，并将memberOf参数取出。