限制安全組的LDAP查詢

Question

我們有幾個域帳戶用於爲各種系統執行LDAP查詢。我們不希望這些賬戶能夠查詢我們AD中的所有OU。

• @域級別我們給了Authenticated Users讀取所有OU的訪問權限。
• 創建這些帳戶所屬的安全組。
• 授予安全組讀取我們擁有應該能夠查詢的用戶的三個OU的訪問權限。
• 已頒發拒絕所有其他包含用戶的OU的完全控制權。

使用帳戶的系統之一是我們的複印機。對目錄的全局搜索仍在拉高配置了denys的OU中存在的用戶。

不知道這可能如何發生。

想法？

Answer 1

這是不夠的，有否認只是OU的對象中的權限必須是一個拒絕：

• 列出內容
• 讀取所有屬性
• 讀取權限

它需要應用於有問題的OU上的「This object and all descendant objects」。