创建用户后将用户添加到 AD 安全组失败

Question

我正在使用 WCF 服务向我们的帮助台工作人员公开某些 Active Directory 管理功能，而不向他们提供直接操作 AD 所需的组成员身份。将用户添加到组中以及从组中删除用户就像使用现有用户一样工作，但是每次我创建新用户时，它都会返回这个有趣的代码：

The server is unwilling to process the request. (Exception from HRESULT: 0x80072035)

我用来将用户添加到组中的代码是

    public bool AddGroupToUser(string userDn, string groupDn)
    {
        try
        {
            DirectoryEntry groupEntry = LdapTools.GetDirectoryEntry(groupDn);
            groupEntry.Properties["member"].Add(userDn);
            groupEntry.CommitChanges();
            groupEntry.Close();
            return true;
        }
        catch (DirectoryServicesCOMException)
        {
            return false;
        }
    }

我读过的所有内容这个主题相当模糊，我似乎无法找出为什么会触发异常。有什么想法吗？

更新

这是我用来在 AD 中创建用户的代码：

        try
        {
            DirectoryEntry container = GetDirectoryEntry(storageOu);
            DirectoryEntry newUser = container.Children.Add("CN=" + employee.FullName, "user");
            newUser.Properties["sAMAccountName"].Value = employee.Username;
            newUser.Properties["displayName"].Value = employee.FullName;
            newUser.Properties["givenName"].Value = employee.FirstName;
            newUser.Properties["sn"].Value = employee.LastName;
            newUser.Properties["department"].Value = departmentName;
            newUser.Properties["userPrincipalName"].Value = employee.Username + "@APEX.Local";
            newUser.CommitChanges();

            newUser.Invoke("SetPassword", new object[] { employee.Password });
            newUser.CommitChanges();

            AdsUserFlags userSettings = AdsUserFlags.NormalAccount;
            newUser.Properties["userAccountControl"].Value = userSettings;
            newUser.CommitChanges();

            ldapPath = newUser.Path;

            newUser.Close();
            container.Close();
        }
        catch (DirectoryServicesCOMException e)
        {
            // Something went wrong... what???
        }
        catch (Exception e)
        {
            // Something else went wrong
        }

新用户可以登录，并且可以使用标准 MS 工具进行操作。

Answer 1

显然，除非我错过了重要的一步，否则问题就是时间。当在尝试将组添加到新用户之前强制系统休眠 8 秒时，该过程将起作用。如果我早于 8 秒标记，它就会失败。

我将这个答案标记为正确，除非有人可以为我提供更好的解决方案。

Answer 2

尝试：

 public bool  AddUserToGroup(string userName, string groupName)

        {

            bool done = false;

            GroupPrincipal group = GroupPrincipal.FindByIdentity(context, groupName);

            if (group == null)

            {

                group = new GroupPrincipal(context, groupName);

            }

            UserPrincipal user = UserPrincipal.FindByIdentity(context, userName);

            if (user != null & group != null)

            {

                group.Members.Add(user);

                group.Save();

                done = (user.IsMemberOf(group));

            }

            return done;

        }

参考：
http://www.c-sharpcorner.com/UploadFile/dhananjaycoder/ ActiveDirectoryOperations11132009113015AM/ActiveDirectoryOperations.aspx

Answer 3

正如此处中提到的，您能告诉我们您为新创建的用户设置了密码吗？在参考文献中，它说您应该在对用户执行任何操作之前设置用户的密码。

Answer 4

Active Directory 复制问题可能会导致时间问题。

有一次，我向客户提供了一个产品，该产品通过 Active Directory 创建用户，其中包含 10,000 多条记录，并在 SharePoint 表单上提供给定信息，然后程序将用户添加到 SharePoint 组。问题是，SharePoint 抛出有关新创建用户的错误，它表示用户在 AD 中不存在。

因此，我们的一位系统工程师告诉我们有关 Active Directory 上的复制操作的情况，这可能是问题的根源，而且确实如此。

对于解决方案，程序尝试在 1 秒休眠的情况下执行该工作 10 次。到目前为止还没有出现问题。因此，作为解决方案，我建议您检查 AD 是否存在复制方法。

PS：当我向客户系统工程师询问复制操作的问题时，他们都否认AD复制操作的存在，并告诉我程序有问题。他们相信我，当我们从一台计算机在 AD 中创建一个新用户时，我们在另一台计算机上有 5 秒钟看不到该用户。