Om programgrupper i Auktoriseringshanteraren

I Auktoriseringshanteraren kan du använda LDAP-frågor för att söka efter objekt i AD DS, AD LDS (Active Directory Lightweight Directory Services) och andra LDAP-kompatibla kataloger.

Du kan använda en LDAP-fråga för att ange en LDAP-frågegrupp genom att skriva den i utrymmet på fliken Fråga i dialogrutan Egenskaper för programgruppen.

Auktoriseringshanteraren stöder två typer av LDAP-frågor som kan användas för att definiera en LDAP-frågegrupp: Frågor av version 1-typ i Auktoriseringshanteraren och LDAP-URL-frågor.

• LDAP-frågor av version 1-typ i Auktoriseringshanteraren
  
  LDAP-frågor av version 1-typ ger begränsat stöd för LDAP-URL-frågesyntaxen som beskrivs i RFC 2255. De här frågorna är begränsade till att fråga attributlistan för användarobjektet som anges i den aktuella klientkontexten.
  
  Med hjälp av följande exempelfråga hittar du alla personer förutom Andreas:
  
  (&(objectCategory=person)(objectClass=användare)(!cn=andreas)).
  
  Den här frågan utvärderar om klienten är medlem i aliaset Statusrapporter på northwindtraders.com:
  
  (memberOf=CN=Statusrapporter,OU=Distributionslistor,DC=nwtraders,DC=com)
  
  Auktoriseringshanteraren har fortsatt stöd för frågor av version 1-typ så att lösningar som utvecklats med tidigare versioner av Auktoriseringshanteraren kan uppgraderas enklare.
  
  
• LDAP-URL-frågor
  
  För att ta bort begränsningar för objekt och attribut som kan eftersökas stöder Auktoriseringshanteraren en LDAP-URL-frågesyntax som baseras på RFC 2255. På så sätt kan du skapa LDAP-frågegrupper som använder andra katalogobjekt än det aktuella användarobjektet som rot för sökningen.
  
  En LDAP-URL börjar med protokollprefixet "ldap" och följer det här formatet:
  
  

	OBS
	Unikt namn (Distinguished Name) kallas även DN.

ldap://<server:port>/<DN för basobjekt>?<attribut>?<fråge-scope>?<Filter>

Särskilt följande grammatik stöds:

       ldapurl    = scheme "://" [hostport] ["/"
                    [dn ["?" [attributes] ["?" [scope]
                    ["?" [filter]]]]]]
       scheme     = "ldap"
       attributes = attrdesc *("," attrdesc)
       scope      = "base" / "one" / "sub"
       dn         = distinguishedName 
       hostport   = hostport 
       attrdesc   = AttributeDescription 
       filter     = filter 

Följande fråga t.ex. returnerar användare vars företagsattribut har angetts till "FabCo" från den LDAP-server som körs på port 389 på en värddator med namnet "fabserver":

ldap://fabserver:389/OU=Kunder,DC=FABCO-PN,DC=com?*?sub?(&(company=FabCo)(objectClass=användare)(objectCategory=användare))

När du använder en LDAP URL-fråga kan du använda det särskilda platshållarvärdet %AZ_CLIENT_DN%. Den här platshållaren ersätts med det unika namnet (DN) för den klient som utför åtkomstkontrollen. På det här sättet kan du skapa frågor som returnerar objekt från katalogen baserat på deras förhållande till det unika namnet för den klient som anger begäran.

I det här exemplet testar LDAP-frågorna om användaren är medlem i "Kund"-OU:

ldap://server:<port>/OU=Kunder,DC=FABCO-PN,DC=com?(objectclass=*)?sub?(& (objectClass=användare)(objectCategory=användare) (distinguishedName= %AZ_CLIENT_DN% ))

I det här exemplet testar LDAP-frågan om användaren är en direktrapport för en chef med namnet "SpecifikChef" och att "sökattribut" för SpecifikChef är lika med det särskilda värdet "sökvärde":

ldap://server:port/Cn=SpecifikChef,OU=Users,DC=FABCO-PN,DC=com?(objectclass=*)?base?(&(sökattribut= sökvärde) (directreports = %AZ_CLIENT_DN%))

Mer information om syntaxen för en LDAP URL-fråga finns i texten för RFC 2255 (sidan kan vara på engelska) (https://go.microsoft.com/fwlink/?linkid=65973).

	Viktigt!
	Om LDAP-frågan börjar med "ldap" hanteras den som en LDAP-URL-fråga. Om den börjar med någonting annat hanteras den som en fråga av version 1-typ.

Enkla programgrupper är specifika för Auktoriseringshanteraren.

Om du vill definiera medlemskap för en enkel programgrupp så måste du göra två saker:

1. Ange vem som är medlem.
   
   
2. Ange vem som inte är medlem.
   
   

Du utför dessa steg på samma sätt:

• Först anger du ett antal (noll eller fler) Windows-användare och -grupper, tidigare definierade enkla programgrupper eller LDAP-frågegrupper.
  
  
• Därefter beräknas medlemskapet för den enkla programgruppen genom att alla icke-medlemmar tas bort från gruppen. Detta görs automatiskt när Auktoriseringshanteraren körs.
  
  

	Viktigt!
	Icke-medlemskap i en enkel programgrupp har högre prioritet än medlemskap.

Programgrupper genom företagslogik är specifika för Auktoriseringshanteraren.

Om du vill ange medlemskap för programgrupper genom företagslogik måste du skriva ett skript i antingen VBScript eller JScript. Källkoden från skriptet laddas från en textfil på sidan Egenskaper för programgruppen genom företagslogik.