【Ovirt 笔记】AD 相关的分析与整理

文前说明

作为码农中的一员，需要不断的学习，我工作之余将一些分析总结和学习笔记写成博客与大家一起交流，也希望采用这种方式记录自己的学习之旅。

本文仅供学习交流使用，侵权必删。
不用于商业目的，转载请注明出处。

分析整理的版本为 Ovirt 3.4.5 版本。

AD域中的默认组整理，是否主要组表示是否可以设置为主要组。

组名	primaryGoupID	常量名	可否主要组
Domain Admins	512	GROUP_RID_ADMINS	√
Domain Users	513	GROUP_RID_USERS	√
Domain Guests	514	GROUP_RID_GUESTS	√
Domain Computers	515	GROUP_RID_COMPUTERS	√
Domain Controllers	516	GROUP_RID_CONTROLLERS	√
Schema Admins	518	GROUP_RID_SCHEMA_ADMINS	√
Enterprise Admins	519	GROUP_RID_ENTERPRISE_ADMINS	√
Group Policy Creator Owners	520	GROUP_RID_POLICY_ADMINS	√
Read-only Domain Controllers	521	GROUP_RID_READONLY_CONTROLLERS	√
Enterprise Read-only Domain Controllers	随机（498）		√
DnsUpdateProxy	随机（1102）		√
test	随机（2715）		√
usertest	随机（2720）		√
Account Operators			×
Administrators			×
Allowed RODC Password Replication Group			×
Backup Operators			×
Cert Publishers			×
Certificate Service DCOM Access			×
Cryptographic Operators			×
Denied RODC Password Replication Group			×
Distributed COM Users			×
DnsAdmins			×
Event Log Readers			×
Guests			×
IIS_IUSRS			×
Incoming Forest Trust Builders			×
Network Configuration Operators			×
Performance Log Users			×
Performance Monitor Users			×
Pre-Windows 2000 Compatible Access			×
Print Operators			×
RAS and IAS Servers			×
Remote Desktop Users			×
Replicator			×
Server Operators			×
Terminal Server License Servers			×
Users			×
Windows Authorization Access Group			×

注意：系统中只支持次要组用户的组权限划分，通过组权限划分，组内用户都可以直接登录系统。系统默认将用户分配到 Domain Users 组中，这个组默认是主要组，因此该组中的用户无法直接通过组权限登录系统。

打开 Active Directory 用户和计算机，在“查看”菜单上，选中“高级功能”，可以打开属性编辑器，可以看到 AD 用户与组的所有属性值。

AD用户常用属性列表：

LADP 操作 AD ，提供了两个接口

一个是 389 非密接口，只能完成 AD 查询，AD 用户登录和添加用户查询时，都会调用该接口。该功能会将证书信息存储到 domain 对象中的 baseCN 属性中，该步骤通过 GetRootDSETask 类实现。 GetRootDSE 类中实现了 AD 域的查询操作。
一个是 636 加密接口，该功能完成AD用户创建。调用该接口之前会查询 baseCN 是否为空，如果为空则创建失败（意味着必须先进行查询，才能进行创建）。该操作在 LdapCreateAdUserTask 类中实现。

管理门户创建用户，组织标签对应的是 ou 属性，不是 memberOf 。这里可以将用户添加到 AD 服务器上创建的组织里面。管理门户目前只能创建一级组织下的用户。

登录查询时，是根据返回 memberof 判断是否具备组权限（次要组）的。