asp.net - 用户能够使用 DirectoryEntry 连接到 Active Directory 的最低权限是什么

Question

我们在 ASP.NET MVC 5 应用程序中使用此代码连接到 Active Directory:

string ADusername = System.Web.Configuration.WebConfigurationManager.AppSettings["ADUserName"];
string ADpassword = System.Web.Configuration.WebConfigurationManager.AppSettings["ADPassword"];

using (var context = new DirectoryEntry("LDAP://mydomain.com:389/DC=mydomain,DC=com", ADusername, ADpassword))

现在一开始认为我们在 DirectoryEntry 中指定的用户名/密码应该是 Active Directory 管理员，以便能够获取用户的信息，但是如果我尝试通过非管理员用户我也可以获得所有用户的信息..

我的问题是:用户能够使用 DirectoryEntry 连接到 Active Directory 的最低权限是多少？

谢谢

Answer 1

无需过于详细，最低限度就是一个用户帐户。默认情况下，Active Directory 中的所有用户都可以连接并查询目录中的信息。

如果它符合您的其他要求，请删除用户名和密码，因为它们势必会使您陷入安全隐患。相反，看看使用 (group) managed service account .

The managed service account is designed to provide services and tasks such as Windows services and IIS application pools to share their own domain accounts, while eliminating the need for an administrator to manually administer passwords for these accounts. It is a managed domain account that provides automatic password management.

如果您确实需要最低，则需要查看目录安全策略以及您计划使用的各个对象的权限。