如何检查用户是否属于AD组和嵌套组？

Question

我有一个使用 Windows 身份验证并实现我们自己的 RoleProvider 的 ASP.NET 3.5 应用程序。

问题是我们希望将对一组页面的访问限制为几千个用户，而不是逐个输入所有这些页面，我们发现它们属于 AD 组。

如果我们针对特定用户检查成员资格的公共组是它的直接成员，那么答案很简单，但我遇到的问题是，如果该组是另一个组的成员，然后是另一个组的成员，那么我的代码总是返回 false。

例如：假设我们要检查User是否是组E的成员，但User不是*E的直接成员”，她是“A”的成员，“B”的成员实际上是E的成员，因此用户是*E的成员”

解决方案之一尽管它给出了正确的答案，但我们的速度非常慢

using (var context = new PrincipalContext(ContextType.Domain))
  {
    using (var group = GroupPrincipal.FindByIdentity(context, IdentityType.Name, "DL-COOL-USERS"))
    {
      var users = group.GetMembers(true); // recursively enumerate

      return users.Any(a => a.Name == "userName");
    }
  }

原始的解决方案以及我试图使用.NET 3.5 System.DirectoryServices.AccountManagement进行工作，并且当用户是相关组的直接成员时它确实可以工作如下如下所示：

public bool IsUserInGroup(string userName, string groupName)
{
  var cxt = new PrincipalContext(ContextType.Domain, "DOMAIN");
  var user = UserPrincipal.FindByIdentity(cxt, IdentityType.SamAccountName, userName);

 if (user == null)
  {       
    return false;
  }


  var group = GroupPrincipal.FindByIdentity(cxt, groupName);

  if (group == null)
  {        
    return false;
  }

  return user.IsMemberOf(group);
}

底线是，即使组嵌套在许多级别中，我们也需要检查成员资格。

多谢！

Answer 1

解决方案 1：使用 web.config 限制访问

由于您使用的是 ASP.NET，限制访问的更简单的解决方案是在 web.config 中进行设置，示例如下：

<configuration>
  <location path="protected/url/path">
    <system.web>
      <authorization>
        <allow roles="DOMAIN\group"/>
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>
</configuration>

有关详细信息： http://msdn.microsoft.com/en-us/library/wce3kxhd.aspx 和 < a href="http://msdn.microsoft.com/en-us/library/b6x6shw7.aspx" rel="nofollow noreferrer">http://msdn.microsoft.com/en-us/library/b6x6shw7.aspx 。

解决方案 2：更快地实现 IsUserInGroup

我在 .NET 2.0 应用程序中使用的代码在与您的类似的大森林中运行良好。

static bool IsUserInGroup(DirectoryEntry user, string groupName)
{
    user.RefreshCache(new string[] {"tokenGroups"});
    for (int i = 0; i < user.Properties["tokenGroups"].Count; i++) {
        SecurityIdentifier sid = new SecurityIdentifier((byte[]) user.Properties["tokenGroups"][i], 0);
        try {
            NTuser nt = (NTuser) sid.Translate(typeof(NTuser));
            if (nt.Value.ToLower().EndsWith("\\" + groupName.ToLower())) {
                return true;
            }
        } catch (IdentityNotMappedException) {
            continue;
        }
    }

    return false;
}

Answer 2

好吧，我不得不跳出这个框架来思考，幸运的是，通过研究 AD，我们发现所有 3000 多名必须查看这些页面的人在自定义 AD 属性中共享一个关键字。所以我所要做的就是从 AD 加载对象并查找它。最终的效果客户非常满意！目前这似乎是一个有点肮脏的解决方案，但一如既往，它工作得很好，我们必须继续做其他事情！

目前，我们正在进行试点计划，我们希望出现任何错误并得到通知，以便我们采取行动。

public static bool IsEmployeeCoolEnoughToSeePages(string userName)
{
  if (string.IsNullOrEmpty(userName))
  {
    throw new ArgumentNullException("Current user's Username cannot be null");
  }

  using (var searcher = new DirectorySearcher(("LDAP://YOURDOMAIN.com")))
  {
    searcher.Filter = string.Format("(&(objectCategory=user)(samAccountName={0}))", ariseUserName);
    SearchResultCollection searchResultCollection = searcher.FindAll();

    if (searchResultCollection.Count == 1)
    {
      var values = searchResultCollection[0].Properties["title"];

      if (values.Count == 1)
      {
        return values[0].ToString().StartsWith("_COOLNES_");
      }
    }

    return false;
  }
}