c# - 在 C# 中验证远程 Active Directory 的用户

Question

我尝试从我的机​​器验证属于远程 ActiveDirectory 的用户，该机器与当前机器或用户域不同。我的机器和远程 ActiveDirectory 机器之间将不存在信任。

初步尝试

我尝试对用户进行身份验证(输入:sAMAccountName、机器的 IP 地址、机器的域用户名(“Administrator”)和机器的密码(***)。能够得到具有“sAMAccountName”的用户确实存在于 ActiveDirectory 中的结果。

我的需求:

1. 假设已经在 ActiveDirectory 中创建了一个用户(“qwerty”)

2. 在我的本地机器上，我将获得以下信息，

   一个。远程 ActiveDirectory ip 地址

   远程 ActiveDirectory 计算机的用户名和密码。

   用户“qwerty”的用户名和密码

3. 我需要检查用户“qwerty”是否存在于远程 ActiveDirectory 的用户列表中，并验证输入的密码是否与 ActiveDirectory 的用户列表中的相同

我试过的代码:

        DirectoryEntry entry = new DirectoryEntry("LDAP://ipaddress/DC=dinesh,DC=com", name, password);
        DirectorySearcher searcher = new DirectorySearcher(entry);
        searcher.Filter = "(sAMAccountName=" + name + ")";

        try
        {
            SearchResult adsSearchResult = adsSearcher.FindOne();
            isValid = true;
            adsEntry.Close();
        }
        catch (Exception ex)
        {
            adsEntry.Close();
        }

在验证远程 ActiveDirectory 中的用户之前，我是否需要在本地机器和远程 ActiveDirectory 机器之间建立信任？如果是，请说明如何完成；

建立信任后，如何验证用户？

============================================= ============================

我能够使用 Rainer 建议的解决方案，但遇到了一个新问题。当我从另一台机器通过 C# 代码创建新用户时，某些属性设置不正确。

是否需要在创建用户时强制设置？

Answer 1

首先是一些基础知识(独立于这个问题)

身份验证

系统检查 Bob 是否真的是 Bob。在 Active Directory 环境中，这通常通过从工作站登录域来完成，Bob 输入他的用户名和密码，然后他获得一张 Kerberos 票证。稍后，如果他想访问例如远程文件服务器上的文件共享，他不再需要登录，无需输入用户名/密码即可访问文件。

授权

系统检查允许 Bob 访问哪些资源。通常Bob在域组中，一个组在资源的ACL(访问控制列表)中。

如果有多个信任域，Bob需要在一个域中登录，才能访问其他所有域中的资源。这是使用 Active Directory 的主要原因之一:单点登录

检查用户/密码是否有效

如果您有用户名和密码并想检查密码是否有效，您必须登录域。没有办法只是“检查密码是否正确”。登录意味着:如果有安全策略“如果超过3次无效登录则锁定帐户”，即使您“只想检查用户名+密码”，也会锁定密码错误的帐户。

使用 .NET 目录服务功能

我在这里假设该进程要么由人类帐户作为普通程序运行，要么该程序是 Windows 服务或在域“技术用户”帐户下运行的计划任务。在这种情况下，您无需提供使用 AD 功能的凭据。如果访问其他信任的 AD 域，也是如此。如果您想登录到“外国域”，并且没有信任，则需要提供用户名+密码(如您的代码中所示)。

“手动”验证用户

通常情况下，不需要这样做。示例:ASP.NET Intranet 用法。用户访问当前域或信任域上的 Web 应用程序，身份验证由浏览器和 IIS“在后台”完成(如果集成 Windows 身份验证已启用)。因此，您永远不需要在应用程序中处理用户密码。

我没有看到很多密码由代码处理的用例。

有人可能认为您的程序是用于存储紧急用户帐户/密码的辅助工具。并且您想定期检查这些帐户是否有效。

这是一种简单的检查方法:

using System.DirectoryServices.AccountManagement;
...

PrincipalContext principalContext = 
     new PrincipalContext(ContextType.Domain, "192.168.1.1");

bool userValid = principalContext.ValidateCredentials(name, password);

也可以使用旧的、原始的 ADSI 函数:

using System.DirectoryServices;
....

bool userOk = false;
string realName = string.Empty;

using (DirectoryEntry directoryEntry = 
   new DirectoryEntry"LDAP://192.168.1.1/DC=ad,DC=local", name, password))
{
    using (DirectorySearcher searcher = new DirectorySearcher(directoryEntry))
    {
        searcher.Filter = "(samaccountname=" + name + ")";
        searcher.PropertiesToLoad.Add("displayname");

        SearchResult adsSearchResult = searcher.FindOne();

        if (adsSearchResult != null)
        {
            if (adsSearchResult.Properties["displayname"].Count == 1)
            {   
                realName = (string)adsSearchResult.Properties["displayname"][0];
            }
            userOk = true;
        }
    }
}   

如果您的真正需求实际上是用户名+密码的有效性检查，您可以通过以下方式之一来完成。

但是，如果它是一个“普通应用程序”，只是想检查输入的凭据是否有效，则您应该重新考虑您的逻辑。在这种情况下，您最好依赖 AD 的单点登录功能。

如果还有其他问题，请评论。

b. Remote ActiveDirectory machine's username and password.

这听起来有点不清楚。我假设您的意思是“远程域中的用户名和相应的密码”。

还有一个机器账号的概念，就是在hostname后面加上$。但这是另一个话题。

---

创建新用户

选项 1

using (DirectoryEntry directoryEntry = new DirectoryEntry("LDAP://192.168.1.1/CN=Users,DC=ad,DC=local", 
        name, password))
{
    using (DirectoryEntry newUser = directoryEntry.Children.Add("CN=CharlesBarker", "user"))
    {
        newUser.Properties["sAMAccountName"].Value = "CharlesBarker";
        newUser.Properties["givenName"].Value = "Charles";
        newUser.Properties["sn"].Value = "Barker";
        newUser.Properties["displayName"].Value = "CharlesBarker";
        newUser.Properties["userPrincipalName"].Value = "CharlesBarker";
        newUser.CommitChanges();
    }
}

选项 2

using (PrincipalContext principalContext = new PrincipalContext(ContextType.Domain, "192.168.1.1", 
    "CN=Users,DC=ad,DC=local", name, password))
{
    using (UserPrincipal userPrincipal = new UserPrincipal(principalContext))
    {
        userPrincipal.Name = "CharlesBarker";
        userPrincipal.SamAccountName = "CharlesBarker";
        userPrincipal.GivenName = "Charles";
        userPrincipal.Surname = "Barker";
        userPrincipal.DisplayName = "CharlesBarker";
        userPrincipal.UserPrincipalName = "CharlesBarker";
        userPrincipal.Save();
    }
}

我留给你一个练习，找出哪个属性进入哪个用户对话框输入字段:-)