asp.net-mvc - 更改 Active Directory 安全组和用户角色的时间滞后

Question

我正在使用 Active Directory 为我的 Web 应用程序中的用户分配角色。
但是，我发现在 AD 中更改用户安全组分配与这些更改传播给使用该应用程序的用户之间似乎存在很长时间的滞后。
事实上，当我从 AD 中检索 C# 中用户的角色时，它们是最新的，但是当我运行此代码以查看用户的角色时，它们直到第二天才会更新。如何从 AD 即时更新用户角色？

var identity = WindowsIdentity.GetCurrent();
var groups = from sid in identity.Groups select sid.Translate(typeof(NTAccount)).Value;
foreach (var group in groups)
{
    groupName = group;
}

Answer 1

发生这种情况是因为 Kerberos 授权信息存储在本地计算机(您的应用服务器)的缓存中，因此您可能无法获取 不是 最新数据。

您有 2 个选择:

在您的服务器上强制更新票据授予票据 (TGT)

使用 UserPrincipal.GetAuthorizationGroups不是从应用程序服务器而是从 AD 获取您的组。