LDAP Filtresini ve Sözdizimini Anlayın

İhtiyaç duyduğunuz bilgileri Active Directory veya Office 365'ten hızla almak için LDAP filtrelemeyi kullanın.

LDAP filtrelemeyi PowerShell'den veya hatta doğrudan AD Kullanıcıları ve Bilgisayarları'ndan kullanabilirsiniz. LDAP filtreleri, rapor oluşturmak veya toplu düzenleme yapmak için süper güçlü bir araçtır.

LDAP filtreleri, etki alanı denetleyicisinde sunucu tarafında işlenir. Performansı artırmak için nesneleri her zaman sunucu tarafında filtrelemelisiniz.

İpucu: Büyük bir AD üzerinde sık ve karmaşık sorgular yapan çok sayıda uygulamanız varsa, bu sorguları işlemek için bir etki alanı denetleyicisi ayırmalısınız.

LDAP Filtre Söz Dizimi

LDAP filtreleri en basit haliyle yalnızca bir AD öznitelik adıyla bir değerle eşleşir:

Öznitelik adları, AD Kullanıcıları ve Bilgisayarları'ndaki "Öznitelik Düzenleyicisi" sekmesinde bulduğunuz "ham" adlardır.

Özellik adları ve değerleri büyük/küçük harfe duyarlı değildir.

Daha karmaşık sorgular için aşağıdaki dört operatör ihtiyaçlarınızın çoğunu karşılayacaktır:

OperatorMeaningSample Expression
&And(&(department=sales)(c=us))
|Or(|(department=sales)(department=marketing))
!Not(!description=external)
*Wildcard(sAMAccountName=EXT*)

Yukarıdaki örneklerde görüldüğü gibi & (ve) ve | (veya) aşağıdaki parantez içinde yer alan tüm ifadelerde ve/veya işlemi gerçekleştirecektir.

Örneğin. departmanın "satış"a VE şehrin "Berlin"e VE ülkenin "Almanya"ya eşit olduğu tüm nesneleri bulmak için aşağıdaki filtreyi kullanırsınız:

(&(department=sales)(l=berlin)(c=DE))

Daha fazla parantez ekleyerek istediğiniz sayıda ifadede AND veya OR kullanabilirsiniz.

Birden fazla AND ve OR operatörünü birleştirmeye başladığınızda, bu hızla daha yüksek karmaşıklığa yol açar. Açıklama özelliğinde "temp" VEYA "tmp" bulunan tüm kullanıcıları VEYA gruplarını tanımlayan aşağıdaki örnek LDAP filtresini düşünün:

(&(|(&(objectClass=user)(objectCategory=person))(objectClass=group))(|(description=*temp*)(description=*tmp*)))

Karmaşık bir LDAP sorgusu oluşturmak (veya kodunu çözmek) için sorguyu aşağıdaki gibi birkaç satıra bölmelisiniz:

(&
  (|
    (&
      (objectClass=user)
      (objectCategory=person)
    )
    (objectClass=group)
  )
  (|
    (description=*temp*)
    (description=*tmp*)
  )
)

Yapıya bir göz atalım:

Satır 3 - 6:

objectClass=user aynı zamanda bilgisayar nesnelerini de döndürdüğünden, yalnızca kullanıcı nesnelerini almak için objectCategory=person ile VE işlemine ihtiyacımız var.

Satır 2 - 8:

Aramamızı yalnızca kullanıcı VEYA grup nesnelerini içerecek şekilde sınırlandırıyoruz.

Satır 9 - 12:

Aramamızı, açıklama özelliğinde 'temp' VEYA 'tmp' bulunan nesnelerle sınırlandırıyoruz.

Satır 1 - 13:

Sorgumuzu VE'leyerek (kullanıcılar VEYA grupları) (açıklamada 'temp' VEYA 'tmp') ile tamamlıyoruz.

Bunu anlamak için birkaç deneme yapmanız gerekebilir, ancak ilk birkaç LDAP sorgunuzu oluşturduktan sonra kısa sürede akıcı hale geleceksiniz ?

PowerShell ve LDAP Filtresi

Get-ADUser gibi PowerShell get komutlarının çoğunda bir LDAPFilter anahtarı bulunur (Filtre anahtarı hakkında daha fazla bilgi edinmek için bu makaleyi okuyun).

LDAPFilter anahtarı bir LDAP filtre sorgu dizesi alır ve belirli ölçütlerle eşleşen AD nesnelerini kolayca listelemenize olanak tanır.

Aşağıdaki örnek, pazarlama departmanındaki tüm AD kullanıcılarını listeler:

Get-ADUser -LDAPFilter '(department=marketing)'

PowerShell komutu Get-ADUser, LDAP aramanızı otomatik olarak kullanıcı nesneleriyle sınırlandırır.

Get-ADGroup ve Get-ADComputer'ın AD aramanız üzerinde benzer bir sınırlayıcı etkisi vardır.

Herhangi bir türde Active Directory nesnesini aramak için bunun yerine Get-ADObject'i kullanın.

AD Kullanıcıları ve Bilgisayarları ve LDAP Filtresi

LDAP sorgularını çalıştırmak için AD Kullanıcıları ve Bilgisayarları aracını kullanabilirsiniz. Bu, LDAP sorgularınızı kolayca test etmenize olanak tanır.

Bir LDAP filtresini test etmek için AD Kullanıcıları ve Bilgisayarları'nı başlatın, Kayıtlı Sorgular'a sağ tıklayın ve Yeni -> Sorgu'yu seçin:

Sorgunuza bir ad verin, isterseniz arama kapsamını (sorgu kökü) değiştirin ve Sorguyu Tanımla'yı tıklayın:

Açılır menüden Özel Arama'yı seçin:

Gelişmiş sekmesine tıklayın ve LDAP filtrenizi ekleyin:

Ardından sorgu düzenleyicisinden çıkmak için birkaç kez Tamam'ı tıklayın. Sorgunuzun sonuçlarını görmek için sorguyu seçin ve yenile simgesini tıklayın:

Açıklamasında 'temp' veya 'tmp' bulunan hem kullanıcılar hem de gruplar bulunduğundan örnek LDAP filtremiz başarılı görünüyor.

Özet

LDAP filtrelemenin temellerinde uzmanlaşmak size çok zaman kazandırabilir ve bilgileri verimli bir şekilde almanıza olanak tanır.

Daha verimli çalışmak için Easy365Manager'a bir göz atın.

Easy365Manager, standart AD yönetiminizin bir parçası olarak Office 365 posta kutularını ve lisanslarını yönetmenize olanak tanıyan bir AD Kullanıcıları ve Bilgisayarları ek bileşenidir.

Easy365Manager, kullanıcı özelliklerini iki yeni sekmeyle genişletir, böylece günlük yönetimi gerçekleştirmek için artık birden fazla araç arasında geçiş yapmanıza gerek kalmaz:

Günlük kullanıcı yönetimi için artık Microsoft 365 Admin Center'da, Exchange Online Admin Center'da veya Azure Portal'da oturum açmanıza gerek olmadığını düşünün.

Azure AD Connect'i doğrudan kullanıcı özelliklerinden bile senkronize edebilirsiniz.

Gelecekteki tüm sıfır gün saldırılarından kaçınmak için şirket içi Exchange sunucunuzu kaldırabilirsiniz.

Sıfır riskli 30 günlük denemeyi şimdi deneyin. Kurulumu yalnızca birkaç dakika sürer ve hafta sonundan önce saatlerce çalışmaktan tasarruf edeceğinizi garanti ederiz!

İlgili makaleler