permissions - 如何查询Active Directory对象的有效权限？

Question

我试图以编程方式确定当前用户是否对给定的Active Directory对象具有某些权限(特别是在这种情况下，我试图确定该用户是否具有另一个Exchange用户或通讯组列表对象的“发送为”权限)。

我已经弄清楚了如何使用ADSI访问ntSecurityDescriptor属性:我可以在IADsSecurityDescriptor的DiscretionaryACL属性中枚举ACE。但:

我如何根据该数据确定受托人是否明确允许或拒绝“发送为”许可？

当通过组成员身份间接授予权限时，如何发现此问题？我是否真的需要自己(递归地)检查用户所属的所有组来解析有效权限？当然，必须有用于该任务的API ...

FWIW，我正在使用ActiveDs.dll类型库在Delphi中进行编码(即 native Win32代码)，因此，.NET特定的解决方案对我没有太大帮助，除非其源代码为我提供了如何在 native 中执行相同操作的线索代码。 PowerShell也是如此。

在任何人开始之前:我已经知道 PR_EMS_AB_PUBLIC_DELEGATES和 PR_EMS_AB_PUBLIC_DELEGATES_BL_O扩展MAPI属性。但是，这不是我追求的目标。这些属性指的是“代表发送”权限(也称为代理人)，而不是“代理发送”权限，这是完全不同的事情。

Answer 1

这是解释-http://msdn.microsoft.com/en-us/library/windows/desktop/ms675580(v=VS.85).aspx的MSDN文章。随附的示例显示了如何调用API。