Suchen Sie inaktive LDAP-Accounts mithilfe des Felds userAccountControl

  • Freigeben Version: Zurich
  • Aktualisiert 31. Juli 2025
  • 1 Minute Lesedauer

    • Identifizieren Sie, wann ein Active Directory-Anwender (AD) gelöscht (oder deaktiviert) wird.

    Vorbereitungen

    Erforderliche Rolle: Administrator

    Warum und wann dieser Vorgang ausgeführt wird

    Eine Methode besteht darin, den aktiven Status von AD-Anwendern nachzuverfolgen und eine Business-Regel zu erstellen, um entsprechende Accounts zu aktualisieren, wenn ein AD-Account inaktiv ist.

    Prozedur

    1. Erstellen Sie ein neues Zeichenfolgenfeld in der Anwendertabelle [sys_user], um den Wert des AD nachzuverfolgen UserAccountControl Feld.
      Beispiel: u_ad_user_Account .
    2. Erstellen Sie ein LDAP-Transformationsskript, um den Feldwert festzulegen. 
      target.u_ad_user_account = source.userAccountControl
    3. Aktualisieren Sie den LDAP-Filter, um deaktivierte AD-Accounts anzuzeigen.
      Hier ist ein Beispiel für einen Filter. 
      (&(objectClass=person)(sn=*)(!(objectClass=computer))(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

      Hier ist ein Beispiel für einen Ersatzfilter, den Sie verwenden können.

      (&(objectClass=person)(sn=*)(!(objectClass=computer)))
    4. Erstellen Sie eine onChange-Geschäftsregel, um das aktive Feld auf „falsch“ festzulegen, wenn das Feld u_ad_user_Account den Wert 514 hat.
      „514“ gibt einen inaktiven Account an.