c# - 如何在 Active Directory 中对密码更改进行客户端验证

Question

我的目标很简单:在客户端 (Javascript) 预验证新密码作为密码是否与域/ou 密码策略匹配的初步检查，以避免浪费服务器资源拒绝错误密码并更快地响应用户。

问题:如何从 Active Directory 获取用户密码策略？

我特别需要知道密码“格式”、密码长度、大写和特殊字符要求等。最终验证当然是 Active Directory 本身。但首先我想使用 Javascript 作为性能优化，我很确定我可以管理 Javascript，如果我可以在 C#/ASP.Net 端检索特定用户/OU 的密码格式要求。

目前，我一直在努力寻找用户当前的密码政策是什么。是的，用户 Alice 可能会使用密码域策略，但 Bob 可以在他的 OU 中使用不同的密码策略。

本网站将安装在拥有数千用户的机构中；我们希望尽量减少针对 Active Directory 的来回验证。此外，在 Javascript 中使用它最终可以帮助遵守 NIST Special Publication 800-63 ，除其他外，它要求就相对密码强度向用户提供及时反馈。现在，我必须能够使代码在 Windows 2008、2008 R2 和 2012 上运行。

我目前可以在 C# 中更改密码，我可以得到错误，但它是全有或全无，对客户端验证没有帮助。

public static PasswordChangeResultsDTO ChangeUserPassword(PasswordChangeRequestDTO request)
{
    try
    {
        bool isPasswordChanged = false;
        SearchResult result = LdapHelper.GetUser(request.Username, request.OldPassword);

        if (result != null)
        {
            using (DirectoryEntry userEntry = result.GetDirectoryEntry())
            {
                userEntry.Invoke("ChangePassword", new object[] {request.OldPassword, request.NewPassword});
                userEntry.CommitChanges();
                isPasswordChanged = true;
            }
        }

        return new PasswordChangeResultsDTO {PasswordChanged = isPasswordChanged};
    }
    catch (COMException comException)
    {
        LoggingHelper.Instance.WriteException(comException);
        string message = comException.ErrorCode == -2147022651
                             ? "The password does not meet the password policy requirements"
                             : comException.Message;
        return new PasswordChangeResultsDTO {PasswordChanged = false, Message = message};
    }
    catch (TargetInvocationException targetInvocationException)
    {
        LoggingHelper.Instance.WriteException(targetInvocationException);
        string message;
        if (targetInvocationException.InnerException != null)
        {
            var comException = targetInvocationException.InnerException as COMException;
            if (comException != null)
            {
                message = comException.ErrorCode == -2147022651
                          ? "The password does not meet the password policy requirements"
                          : comException.Message;
            }
            else
            {
                message = targetInvocationException.InnerException.Message;
            }
        }
        else
        {
            message = targetInvocationException.Message;
        }

        return new PasswordChangeResultsDTO {PasswordChanged = false, Message = message};
    }
    catch (Exception ex)
    {
        string msgError = (null != ex.InnerException) ? ex.InnerException.Message : ex.Message;
        string msgSource = (null != ex.InnerException) ? ex.InnerException.Source : ex.Source;
        string msgStackTrace = (null != ex.InnerException) ? ex.InnerException.StackTrace : ex.StackTrace;
        string msgOutput = String.Format(CultureInfo.InvariantCulture,
                                             "Exception in {3} MSG[{0}] SOURCE[{1}] STACK[{2}]",
                                         msgError, msgSource, msgStackTrace, MethodBase.GetCurrentMethod().Name);

        LoggingHelper.Instance.Fatal(msgOutput);
        throw;
    }
}

Answer 1

在域级别查找此信息很容易。很难确定是否有任何组策略覆盖了默认值。

在域级别，域本身具有管理域默认密码策略的属性。您可以绑定(bind)到域本身(即 LDAP://domain.com)并读取这些属性:

• minPwdLength : 最小字符长度
• pwdHistoryLength : 不能重复使用的旧密码的数量。
• pwdProperties :这是一个可能表示各种含义的位标志，您可以在“密码属性”部分下阅读 here .它可能被设置为 1 (DOMAIN_PASSWORD_COMPLEX)，这意味着密码必须至少包含大写、小写和数字中的两个。

如果您想努力阅读适用于用户 OU 的组策略，似乎没有任何 .NET 库可以做到这一点。您必须求助于使用非托管代码。有一个例子 here使用 IGPMDomain来自 C# 的接口(interface)，但您必须对其进行调整才能为正确的 OU 找到 GPO。