Welche Berechtigungen sind erforderlich, um Active Directory als LDAP zu lesen?

Question

Der Aufbau:

Es gibt eine zentrale AD-Domäne (zentral) und mehrere seperate Wälder, von denen jede ihre eigenen Domain hat (BRANCH1, Branch2, BRANCH3)

Es gibt 2-Wege-Domäne vertraut zwischen zentralen und alle anderen Domains.

Eine Anwendung, an der ich arbeite, wird in der CENTRAL-Domäne ausgeführt und führt LDAP-Suchen in allen Domänen mit den Anmeldeinformationen CENTRAL \ ldapreader aus.

Dies funktioniert perfekt für CENTRAL und BRANCH1, aber BRANCH2 und BRANCH3 verweigern die Verbindung mit einem ungültigen Anmeldeinformationen Fehler. Wenn die Suche stattdessen ein Konto in diesen Domänen verwendet (BRANCH2 \ ldapreader usw.), funktioniert die Suche einwandfrei.

Welche Berechtigungen sind erforderlich, um AD als LDAP-Server zu lesen? Alles, was ich gefunden habe, zeigt an, dass dies für AUTENTIZIERTE BENUTZER erlaubt ist, was wegen der Zwei-Wege-Vertrauenswürdigkeit gut mit CENTRAL \ ldapreader funktionieren sollte, aber das ist nicht das Verhalten, das wir bekommen.

Answer 1

Ich denke, dass die Erlaubnis, die Sie suchen, "Listeninhalt" ist. Sie sollten sicherstellen, dass "CENTRAL \ ldapreader" diese Berechtigung für BRANCH2 und BRANCH3 besitzt.

Ich frage mich, ob Sie die Vertrauensstellungen mit selektiver Authentifizierung oder gesamtstrukturweite Authentifizierung einrichten und ob Sie BRANCH2 und BRANCH3 manuell durchsuchen können.