第 14 章 查找目录条目
目录中的条目可以通过命令行或 Web 控制台搜索和找到。
14.1. 使用命令行查找目录条目
您可以使用 ldapsearch 命令行工具搜索目录条目。此工具使用指定的身份和凭证打开到指定服务器的连接，并根据指定的搜索过滤器查找条目。搜索范围可以包括：
- 单个条目(
-s base) - 条目即时子条目(
-s one) - 整个树或子树(
-s 子)
注意
常见错误是假定根据可分辨名称中使用的属性搜索目录。区分名称只是目录条目的唯一标识符，不能用作搜索键。相反，请根据条目本身中存储的属性对搜索条目。因此，如果条目的可分辨名称为 uid=bjensen,ou=People,dc=example,dc=com，则搜索 dc=example 不匹配该条目，除非将 dc:example 明确添加为该条目中的属性。
搜索结果以 LDIF 格式返回。LDIF 在 RFC 2849 中定义，在 附录 B, LDAP 数据交换格式 中详细介绍。
本节包含有关以下主题的信息：
14.1.1. ldapsearch 命令行格式
ldapsearch 命令必须使用以下格式：
# ldapsearch [-x | -Y mechanism] [options] [search_filter] [list_of_attributes]
-x（使用简单绑定）或-Y（用于设置 SASL 机制）都必须用于配置连接类型。- 选项 是一系列命令行选项。如果使用任何操作，则必须在搜索过滤器前指定它们。
- list_of_attributes 是用空格分开的属性列表。指定属性列表可减少搜索结果中返回的属性数量。此属性列表必须在搜索过滤器后显示。例如，请参阅 第 14.4.6 节 “显示属性的子组”。如果没有指定属性列表，搜索会返回目录中访问控制集允许的所有属性的值，但操作属性除外。要使操作属性因为搜索操作而返回，必须在 search 命令中明确指定它们。要返回对象的所有操作属性，请指定
+。要检索除明确指定的操作属性外的常规属性，请在 ldapsearch 命令中的属性列表中使用星号。要仅检索匹配的 DN 列表，请使用特殊属性 1.1。例如：# ldapsearch -D "cn=Directory Manager" -W -p 389 -h server.example.com \ -b "dc=example,dc=com" -x "(objectclass=inetorgperson)" 1.1
14.1.2. 常用的 ldapsearch 选项
下表列出了最常用的 ldapsearch 命令行选项。如果指定值包含一个空格（），则该值应用单引号或双引号括起，如 -b "cn=My Special Group,ou=groups,dc=example,dc=com "。
重要
OpenLDAP 的 ldapsearch 工具默认使用 SASL 连接。要执行一个简单的绑定或使用 TLS，请使用
-x 参数来禁用 SASL 并允许其他连接方法。
| 选项 | 描述 | |||
|---|---|---|---|---|
| -b | 指定搜索的起点。此处指定的值必须是当前存在于数据库中的可分辨名称。如果 LDAP_BASEDN 环境变量已设置为基本 DN，则这是可选的。此选项中指定的值应该以单引号或双引号形式提供。例如：
-b "cn=user,ou=Product Development,dc=example,dc=com"要搜索根 DSE 条目，请在此处指定一个空字符串，如 -b "" 。 | |||
| -D | 指定要向服务器进行身份验证的可分辨名称。如果服务器支持匿名访问，则这是可选的。如果指定，这个值必须是目录服务器可识别的 DN，还必须有相应的授权才能搜索条目。例如，-D "uid=user_name,dc=example,dc=com"。 | |||
| -H |
指定用于连接服务器的 LDAP URL。对于传统的 LDAP URL，其格式如下：
ldap[s]://hostname[:port]端口 是可选的；如果未指定端口，它将使用默认的 389 或 LDAPS 端口 636。
这也可以使用 LDAPI URL，每个元素都由 HTML 十六进制代码 %2F 分隔，而不是正斜杠(/)：
ldapi://%2Ffull%2Fpath%2Fto%2Fslapd-example.socket对于 LDAPI，请指定服务器正在侦听的 LDAPI 套接字的完整路径和文件名。由于这个值解释为 LDAP URL，因此路径中的正斜杠字符(/)必须转义为 URL 转义值 %2F。
使用
-H 选项而不是 -h 和 -p。
| |||
| -h | 指定安装目录服务器的机器的主机名或 IP 地址。例如，-h server.example.com。如果没有指定主机，则 ldapsearch 将使用 localhost。
注意
目录服务器支持 IPv4 和 IPv6 地址。
| |||
| -l | 指定等待搜索请求完成的最大秒数。例如，-l 300。nsslapd-timelimit 属性的默认值为 3600 秒。无论指定的值如何，volume sync 都不会等待的时间超过服务器的 nsslapd-timelimit 属性所允许的时间。 | |||
| -p | 指定 Directory 服务器使用的 TCP 端口号。例如，-p 1049。默认值为 389。
如果指定了
-h，还必须指定 -p，即使它给出了默认值。
| |||
| -s scope | 指定搜索的范围。范围可以是以下范围之一：
| |||
| -W |
提示输入密码。如果没有设置这个选项，则使用匿名访问。
或者，使用
-w 选项将密码传递给实用程序。请注意，可以在用户的进程列表中看到密码，并保存在 shell 的历史记录中。
| |||
| -x | 禁用默认 SASL 连接以允许简单的绑定。 | |||
| -Y SASL_mechanism |
设置用于身份验证的 SASL 机制。如果没有设置机制，则
ldapsearch 会选择服务器支持的最佳机制。
如果没有使用
-x，则必须使用 -Y 选项。
| |||
| -z number | 设置在响应搜索请求时返回的最大条目数。在使用 root DN 绑定时，这个值会覆盖 server-side nsslapd-sizelimit 参数。 |
14.1.3. 使用特殊 Characters
使用 ldapsearch 命令行工具时，可能需要指定包含对命令行解释器有特殊含义的字符的值，如空格（）、星号或反斜杠(\)。在引号("")中包含特殊字符的值。例如：
-D "cn=user_name,ou=Product Development,dc=example,dc=com"
根据命令行解释器，使用单引号或双引号。通常，使用单引号(')括起值。使用双引号(")），在有 shell 变量时允许变量插入。如需更多信息，请参阅操作系统文档。
