Active Directory 是否可以防止不在域中的客户端进行修改？

Question

我有一个方法AddUserToGroup将用户添加到活动目录组。

我正在未连接到包含用户和组的域控制器的计算机上调用该方法。

调用 group.Save() 时，会引发 PrimaryOperationException：

“无法检索有关域的信息 (1355)。”

AD 是否会阻止未在域中注册的客户端进行修改？我可以愉快地从同一个客户端查询域（例如，返回组中的用户）。

将用户添加到组的方法：

public static void AddUserToGroup(string userId, 
                                  string groupName)
{
    try
    {
        using (var pc = GetPrincipalContextFromConfig())
        {
            var group = GroupPrincipal.FindByIdentity(pc, groupName);
            try
            {
                group.Members.Add(pc, IdentityType.Guid, userId);
                group.Save();
            }
            catch (PrincipalExistsException e)
            {
              //...
            }                                                                
        }
    }
    catch (DirectoryServicesCOMException e)
    {                
        //...
    }
}

Answer 1

无论您的应用程序在什么 ID 下运行，都需要具有对 AD 的“写”访问权限。几乎任何 ID 都可以查询 AD，但只有明确授予权限的 ID 才能对其进行写入。