UserPrincipal.FindByIdentity Permissions

Question

Tôi đang cố sử dụng thư viện .NET System.DirectoryServices.AccountManagement để lấy UserPrincipal cho một người dùng Active Directory cụ thể.

Tôi đã có đoạn mã sau:

PrincipalContext context = new PrincipalContext(ContextType.Domain, "DomainName"); 
userPrincipal = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, username); 

Mã này được chạy như một người sử dụng tên miền hợp lệ, nhưng khi tôi thực hiện nó tôi nhận được ngoại lệ sau đây:

System.DirectoryServices. DirectoryServicesCOMException (0x8007052E): Lỗi đăng nhập: tên người dùng không rõ hoặc mật khẩu không đúng.

Điều thú vị là tôi có thể thực hiện cuộc gọi sau đây, sử dụng bối cảnh tương tự, mà không có một vấn đề:

context.ValidateCredentials(username, password, ContextOptions.Negotiate) 

Ý tưởng?

Answer 1

Bạn cần sử dụng công cụ xây dựng PrincipalContext có tên người dùng và mật khẩu.

Lý do xác thực tác phẩm là do sử dụng thông tin đăng nhập được cung cấp để liên kết với thư mục.

Answer 2

Có vẻ như bạn có thông tin đăng nhập mạng được lưu trữ. Trong Windows, bạn có thể chỉ định sử dụng thông tin xác thực mạng khác khi cố gắng truy cập tài nguyên mạng. Tôi có thể tái tạo chính xác cùng một vấn đề như bạn đang thấy bằng cách thiết lập thông tin xác thực mạng sai.

Giả sử tên miền của bạn được gọi là yourdomain.com, bạn có thể yêu cầu Windows luôn sử dụng tên người dùng và mật khẩu cụ thể bất cứ khi nào nó nói với bất kỳ máy tính nào có đủ yourdomain.com.

=== của Windows 7/2008 ===

1. Launch các "Crendentail Manager".
2. Dưới phần thông tin Windows, bấm Add a Windows credentials
3. Trong địa chỉ mạng, đưa vào *.yourdomain.com
4. Trong tên truy cập và mật khẩu, đưa vào tên người dùng hoặc mật khẩu sai sai

=== Windows XP/2000/2003 ===

1. Bấm Start và Run
2. Gõ vào control keymgr.dll
3. Bấm nút Add vào "lưu trữ tên người dùng và mật khẩu" hộp thoại
4. Trong hộp máy chủ văn bản, đưa vào *.yourdomain.com
5. Trong username và password, đưa vào tên người dùng sai hoặc sai mật khẩu

Nếu đây thực sự là các vấn đề mà bạn đang phải đối mặt, sửa chữa dễ dàng là để loại bỏ các mật khẩu được lưu trữ.

Tại sao context.ValidateCredentials (tên người dùng, mật khẩu, ContextOptions.Negotiate) hoạt động?Đơn giản là vì bạn đang khởi tạo xác thực Kerberos/NTLM khác vì bạn cung cấp lại uername và password. Dưới mui xe, nếu Kerberos được chọn, nó sẽ gửi bộ điều khiển miền tên người dùng và mật khẩu được cung cấp và trao đổi cho một vé Kerberos TGT. Sau đó, máy của bạn nhận được một vé dịch vụ trên máy chủ LDAP bằng cách sử dụng vé TGT này. Sau đó, máy của bạn sẽ gửi vé dịch vụ này đến máy chủ LDAP. Lưu ý rằng vé dịch vụ này sẽ không được giữ lại trong phiên đăng nhập hiện tại.

Tại sao UserPrincipal.FindByIdentity không hoạt động? Nếu bạn không có bất kỳ mật khẩu được lưu trữ nào, thông thường nó sẽ hoạt động vì Windows sẽ chỉ sử dụng vé TGT của người dùng đăng nhập hiện tại để đổi lấy vé dịch vụ máy chủ LDAP. Không có quy trình xác thực tên người dùng/mật khẩu nào có liên quan. Tuy nhiên, nếu bạn có một mật khẩu tên người dùng xấu, Windows sẽ nghĩ rằng nó không nên sử dụng vé đăng nhập TGT của người dùng đăng nhập hiện tại. Thay vào đó, nó sẽ nhận được một vé TGT mới bằng cách sử dụng mật khẩu mạng được lưu trữ. Đó là lý do bạn nhìn thấy System.DirectoryServices.DirectoryServicesCOMException (0x8007052E): Logon failure: unknown user name or bad password.