C# 的 Active Directory 查找在服务器上失败，但在本地工作

Question

在我的工作场所，我必须处理 2 个不同的域 x.com（父目录）及其子域 yxcom

父域（x.com）拥有所有 Active Directory 用户、计算机等。 .com 域我可以很好地阅读活动目录用户的电子邮件。

服务器位于域 yxcom 中，它是 x 的子域。在服务器上，Active Directory 读取失败，并且未从 Active Directory 读取电子邮件地址。

除此之外，我尝试从位于 yxcom 域（与服务器相同）的虚拟机中使用相同的代码，令我惊讶的是，这有效。

我正在 .NET 中使用目录服务来执行此操作，我的代码如下：

string userEmail = string.Empty;

try
{
 accountName = accountName.Replace(ConfigurationManager.AppSettings["DomainName"].ToString(), "");

 DirectorySearcher ds = new DirectorySearcher()
 {
  SearchRoot = new DirectoryEntry()
  {
   Path = ConfigurationManager.AppSettings["DirectoryPath"].ToString(),
   AuthenticationType = AuthenticationTypes.Secure
  }
 };

 ds.Filter = "(SAMAccountName=" + accountName + ")";
 ds.PropertiesToLoad.Add(ConfigurationManager.AppSettings["ADMailPropertyName"].ToString());

 SearchResult result = ds.FindOne();

 if (result != null)
 {
  userEmail = result.Properties[ConfigurationManager.AppSettings["ADMailPropertyName"].ToString()][0].ToString();
 }
}
catch (Exception e)
{
 //Log error
}

return userEmail;

任何帮助将不胜感激。

Answer 1

您的程序在服务器上运行的用户帐户是否具有 Active Directory 的必要权限？

Answer 2

服务器进程可能在某个本地计算机帐户（系统、本地）下运行。您可能需要向DirectoryEntry 构造函数的此重载提供正确的凭据 。

Answer 3

对 Greg 答案的评论指出您使用 1) 模拟和 2) Windows 身份验证。这意味着您的服务器知道您是谁，并且正在冒充您。

但是...您的服务器无法将这些凭据委托给远程服务器（x.com 域服务器）。这是一个潜在的安全漏洞，如果可能的话，允许网站将您的凭据转发给任何第三方。

一种解决方案是使用 kerberos 身份验证并启用服务器进行委派。我自己从来没有这样做过，所以不能真正帮助你了解细节。

您可以在 双跳问题。