LDAPsearch 命令详解，Ldapsearch userAccountControl?
哎呦喂，今天咱们来聊聊 LDAPsearch 这个神奇的小工具，这可是在 Linux 下面查询 Active Directory 用户信息的好帮手，简直是居家旅行，必备良药啊！
一、LDAPsearch 是什么？
LDAPsearch 就是一个命令行工具，可以用来在 LDAP 目录服务器中执行搜索操作。说白了，它就是专门用来查找用户信息的，就像你用搜索引擎在网上找资料一样。
二、LDAPsearch 怎么用？
LDAPsearch 的使用非常简单，只需要输入以下命令：
ldapsearch [-h hostname] [-p port] [-x] [-D username] [-w password] [-b baseDN] [-s scope] [filter] [attributes]
这串命令就像是一道神奇的咒语，可以召唤出你需要的信息。
1. -h hostname：指定 LDAP 服务器的域名或 IP 地址。
2. -p port：指定 LDAP 服务器的端口号，默认是 389。
3. -x：使用简单身份验证，即不使用 SSL/TLS 加密。
4. -D username：指定用于连接 LDAP 服务器的用户名。
5. -w password：指定用于连接 LDAP 服务器的密码。
6. -b baseDN：指定搜索的根目录。
7. -s scope：指定搜索范围，可以是 base、onelevel 或 subtree。
8. filter：指定搜索条件。
9. attributes：指定要返回的属性。
三、Ldapsearch userAccountControl 是什么？
userAccountControl 这个属性可是个大宝贝，它包含了用户信息的各种状态，比如账户是否启用、是否锁定、密码是否过期等等。这就好比用户账户的“身份证”，包含了各种重要的信息。
四、怎么用 LDAPsearch 查询 userAccountControl 属性？
想要查询 userAccountControl 属性，只需要在 ldapsearch 命令中加入 userAccountControl 属性即可，比如：
ldapsearch -h yourdomain.com -b "DC=yourdomain,DC=com" -D "cn=admin,cn=users,dc=yourdomain,dc=com" -w yourpassword "(objectClass=user)" userAccountControl
这条命令就会返回所有用户的 userAccountControl 属性值，这样你就可以知道用户的各种状态了。
五、userAccountControl 属性值怎么解读？
userAccountControl 属性值是一个 32 位的整数，其中每个位代表不同的状态，就像是一个二进制密码，只有懂密码的人才能解读。
为了方便理解，我整理了一张解释了每个位的含义：
| 位 | 状态 | 含义 |
|---|---|---|
| 0 | 用户帐户已启用 | |
| 1 | 用户帐户已禁用 | |
| 2 | 用户帐户是服务器信任的 | |
| 3 | 用户帐户是工作站信任的 | |
| 4 | 用户帐户是域管理员 | |
| 5 | 用户帐户是域用户 | |
| 6 | 用户帐户是帐户操作员 | |
| 7 | 用户帐户是服务器操作员 | |
| 8 | 用户帐户是打印操作员 | |
| 9 | 用户帐户是备份操作员 | |
| 10 | 用户帐户是目录管理员 | |
| 11 | 用户帐户是克隆的 | |
| 12 | 用户帐户是被授权的 | |
| 13 | 用户帐户是已过期的 | |
| 14 | 用户帐户是密码已过期的 | |
| 15 | 用户帐户是自动解锁的 | |
| 16 | 用户帐户是锁定状态 | |
| 17 | 用户帐户是使用前必须更改密码的 | |
| 18 | 用户帐户是强制密码更改的 | |
| 19 | 用户帐户是允许密码更改的 | |
| 20 | 用户帐户是允许重置密码的 | |
| 21 | 用户帐户是允许设置密码的 | |
| 22 | 用户帐户是允许使用自动登录的 | |
| 23 | 用户帐户是允许使用脚本登录的 | |
| 24 | 用户帐户是允许使用证书登录的 | |
| 25 | 用户帐户是允许使用智能卡登录的 | |
| 26 | 用户帐户是允许使用密钥登录的 | |
| 27 | 用户帐户是允许使用多因素身份验证的 | |
| 28 | 用户帐户是允许使用安全桌面登录的 | |
| 29 | 用户帐户是允许使用远程桌面登录的 | |
| 30 | 用户帐户是允许使用网络访问的 | |
| 31 | 用户帐户是允许使用电子邮件的 |
例如，如果 userAccountControl 属性值为 514，那么可以转换为二进制数 1000000010，则表示该用户帐户是已启用的、是域用户的、并且是已过期的。
当然，你也可以使用 ldapsearch 命令来查询用户的其他属性，比如姓名、电子邮件地址、电话号码等等。
怎么样，是不是感觉 LDAPsearch 这个工具很强大？ 掌握了 LDAPsearch 的使用方法，你就可以轻松地管理 Active Directory 用户信息啦！
别急着走，告诉我，你最想知道 LDAPsearch 的什么？或者你有其他关于 Active Directory 的 快来评论区留言吧！