Помогите в LDAP найти пользователей в гурппе

Ты явно хотел дописать что-то.

Уже дописал... Случайно засабмитилось на середине повествования...

Чтобы искать по атрибуту memberof должен быть настроен соответствующий overlay.

ou - это просто контейнер в иерархии. Он может быть, может быть контейнер в контейнере, а может быть просто запись (например группа) в dc (dc=my-domain,dc=ru). Это не важно.

Чтобы искать по атрибуту memberof должен быть настроен соответствующий overlay.

Добавил в ldap.conf

include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema

Однако обещанная по ссылке команда

ldapsearch -v -H ldap://192.168.xx.yy/ -D cn=admin,dc=my-domain,dc=ru -W -x -b dc=my-domain,dc=ru  memberOf

Все равно выдает записи без групп

# user2, my-domain.ru
dn: cn=user2,dc=my-domain,dc=ru

# user1, my-domain.ru
dn: cn=user1,dc=my-domain,dc=ru

как выдавала до того как я эти инклюды в конфиг добавил.

А дока обещает, что должна быть еще строчка с атрибутом memberOf

dn: uid=test1,ou=People,dc=example,dc=com
 memberOf: cn=testgroup,ou=Group,dc=example,dc=com

А дока обещает, что должна быть еще строчка с атрибутом memberOf

А дока не говорит, что тебе надо заполнять атрибут memberof так же, как ты заполняешь uniqueMemeber ?

Ну вот, пришел и всё испортил :)

Товарищ дорогой, внимательно посмотри какие атрибуты у тебя заполнены и какие ты ищешь.

Чтобы искать по атрибуту memberof должен быть настроен соответствующий overlay.

Понял свою ошибку. См. Update.

А почему objectCategory? objectClass жи надо, не?

Ищешь чем: программа, API?

Опишу для C API, как наиболее универсальный:

/* вот тут наши группы */
char base[] = "dc=my-domain,dc=ru"; 
/* ишем только группы в которых есть юзеры */
char filter[] = "(& (objectClass=groupOfUniqueNames) (uniqueMember=*))";
/* нам нужен только uniqueMember */
char uniqMembr[] = "uniqueMember";
char *attrs[] = { uniqMembr, NULL };
/* результат */
LDAPMessage *res;

int err = ldap_search_s(ld, /* = ldap_init(...) */
                      base, 
                      LDAP_SCOPE_ONELEVEL, /* полагаю вложенных групп нет? */
                      filter, attrs, 0, &res);
if (err && err != LDAP_SIZELIMIT_EXCEEDED) {
    fprintf(stderr, "ldap error: %s", ldap_err2string(err));
    exit(EXIT_FAILURE);
}

LDAPMessage *msg = ldap_first_entry(ld, res);
while (msg) {
    char **values = ldap_get_values(ld, msg, uniqMembr);
    for (char **i = values; *i; i++) {
        printf("member: %s\n", *i);
    }
    ldap_value_free(values);

    msg = ldap_next_entry(ld, msg);
}

ldap_msgfee(res);

А, если тебе еще нужно название группы, то между while .. ldap_get_values нужно еще:

char *dn = ldap_get_dn(ld, msg);
print("group: %s\n", dn);
ldap_memfree(dn);

А по поводу консольной ldapsearch, то это будет выглядеть так:

ldapsearch ... -b "dc=my-domain,dc=ru" -s one "(&(objectClass=groupOfUniqueNames)(uniqueMember=*))" dn uniqueMember

Ищешь чем: программа, API?

В итоге искать собираюсь внутри pam_ldap. Для тестов использую ldapsearch из командной строки.

(& (objectClass=groupOfUniqueNames) (uniqueMember=*))

Ну это найдет имена людей входящих в группу. А мне по факту для pam_ldap автогризации надо получить записи людей входящих в группу...

А почему objectCategory? objectClass жи надо, не?

Твоя правда... Что-то я не оттуда скопировал... но и objectClass — не работает....

Как я понимаю правильный отвер живет в Update абзаце... Я просто никак не попробую...