第 14 章 查找目录条目

目录中的条目可以通过命令行或 Web 控制台搜索和找到。

14.1. 使用命令行查找目录条目

您可以使用 ldapsearch 命令行工具搜索目录条目。此工具使用指定的身份和凭证打开到指定服务器的连接，并根据指定的搜索过滤器查找条目。搜索范围可以包括：
  • 单个条目(-s base)
  • 条目即时子条目(-s one)
  • 整个树或子树(-s 子)
注意
常见错误是假定根据可分辨名称中使用的属性搜索目录。区分名称只是目录条目的唯一标识符，不能用作搜索键。相反，请根据条目本身中存储的属性对搜索条目。因此，如果条目的可分辨名称为 uid=bjensen,ou=People,dc=example,dc=com，则搜索 dc=example 不匹配该条目，除非将 dc:example 明确添加为该条目中的属性。
搜索结果以 LDIF 格式返回。LDIF 在 RFC 2849 中定义，在 附录 B, LDAP 数据交换格式 中详细介绍。
本节包含有关以下主题的信息：

14.1.1. ldapsearch 命令行格式

ldapsearch 命令必须使用以下格式： 
# ldapsearch [-x | -Y mechanism] [options] [search_filter] [list_of_attributes]
  • -x （使用简单绑定）或 -Y （用于设置 SASL 机制）都必须用于配置连接类型。
  • 选项 是一系列命令行选项。如果使用任何操作，则必须在搜索过滤器前指定它们。
  • search_filter 是一个 LDAP 搜索过滤器，如 第 14.3 节 “LDAP 搜索过滤器” 所述。如果使用 -f 选项指定搜索过滤器，则不要指定单独的搜索过滤器。
  • list_of_attributes 是用空格分开的属性列表。指定属性列表可减少搜索结果中返回的属性数量。此属性列表必须在搜索过滤器后显示。例如，请参阅 第 14.4.6 节 “显示属性的子组”。如果没有指定属性列表，搜索会返回目录中访问控制集允许的所有属性的值，但操作属性除外。
    要使操作属性因为搜索操作而返回，必须在 search 命令中明确指定它们。要返回对象的所有操作属性，请指定 +。要检索除明确指定的操作属性外的常规属性，请在 ldapsearch 命令中的属性列表中使用星号。
    要仅检索匹配的 DN 列表，请使用特殊属性 1.1。例如： 
    # ldapsearch -D "cn=Directory Manager" -W -p 389 -h server.example.com \
     -b "dc=example,dc=com" -x "(objectclass=inetorgperson)" 1.1

14.1.2. 常用的 ldapsearch 选项

下表列出了最常用的 ldapsearch 命令行选项。如果指定值包含一个空格（），则该值应用单引号或双引号括起，如 -b "cn=My Special Group,ou=groups,dc=example,dc=com "。
重要
OpenLDAP 的 ldapsearch 工具默认使用 SASL 连接。要执行一个简单的绑定或使用 TLS，请使用 -x 参数来禁用 SASL 并允许其他连接方法。
选项 描述
-b 指定搜索的起点。此处指定的值必须是当前存在于数据库中的可分辨名称。如果 LDAP_BASEDN 环境变量已设置为基本 DN，则这是可选的。此选项中指定的值应该以单引号或双引号形式提供。例如： 
-b "cn=user,ou=Product Development,dc=example,dc=com"
要搜索根 DSE 条目，请在此处指定一个空字符串，如 -b "" 。
-D 指定要向服务器进行身份验证的可分辨名称。如果服务器支持匿名访问，则这是可选的。如果指定，这个值必须是目录服务器可识别的 DN，还必须有相应的授权才能搜索条目。例如，-D "uid=user_name,dc=example,dc=com"。
-H
指定用于连接服务器的 LDAP URL。对于传统的 LDAP URL，其格式如下： 
ldap[s]://hostname[:port]
端口 是可选的；如果未指定端口，它将使用默认的 389 或 LDAPS 端口 636。
这也可以使用 LDAPI URL，每个元素都由 HTML 十六进制代码 %2F 分隔，而不是正斜杠(/)： 
ldapi://%2Ffull%2Fpath%2Fto%2Fslapd-example.socket
对于 LDAPI，请指定服务器正在侦听的 LDAPI 套接字的完整路径和文件名。由于这个值解释为 LDAP URL，因此路径中的正斜杠字符(/)必须转义为 URL 转义值 %2F。
使用 -H 选项而不是 -h 和 -p。
-h 指定安装目录服务器的机器的主机名或 IP 地址。例如，-h server.example.com。如果没有指定主机，则 ldapsearch 将使用 localhost。
注意
目录服务器支持 IPv4 和 IPv6 地址。
-l 指定等待搜索请求完成的最大秒数。例如，-l 300。nsslapd-timelimit 属性的默认值为 3600 秒。无论指定的值如何，volume sync 都不会等待的时间超过服务器的 nsslapd-timelimit 属性所允许的时间。
-p 指定 Directory 服务器使用的 TCP 端口号。例如，-p 1049。默认值为 389。
如果指定了 -h，还必须指定 -p，即使它给出了默认值。
-s scope 指定搜索的范围。范围可以是以下范围之一：
base 仅搜索 -b 选项中指定的条目，或者由 LDAP_BASEDN 环境变量定义。
一个 仅搜索 -b 选项指定的条目的直接子项。仅搜索子项，不会搜索 -b 选项指定的实际条目。
sub 搜索 -b 选项中指定的条目及其所有后级；即，从 -b 选项中标识的点执行子树搜索。这是默认值。
-W
提示输入密码。如果没有设置这个选项，则使用匿名访问。
或者，使用 -w 选项将密码传递给实用程序。请注意，可以在用户的进程列表中看到密码，并保存在 shell 的历史记录中。
-x 禁用默认 SASL 连接以允许简单的绑定。
-Y SASL_mechanism
设置用于身份验证的 SASL 机制。如果没有设置机制，则 ldapsearch 会选择服务器支持的最佳机制。
如果没有使用 -x，则必须使用 -Y 选项。
-z number 设置在响应搜索请求时返回的最大条目数。在使用 root DN 绑定时，这个值会覆盖 server-side nsslapd-sizelimit 参数。

14.1.3. 使用特殊 Characters

使用 ldapsearch 命令行工具时，可能需要指定包含对命令行解释器有特殊含义的字符的值，如空格（）、星号或反斜杠(\)。在引号("")中包含特殊字符的值。例如： 
-D "cn=user_name,ou=Product Development,dc=example,dc=com"
根据命令行解释器，使用单引号或双引号。通常，使用单引号(')括起值。使用双引号(")），在有 shell 变量时允许变量插入。如需更多信息，请参阅操作系统文档。