如何确定任意 DOMAIN\用户名是否属于 C# 的特定角色？

Question

我对 C# 真的很陌生，所以请原谅我的无知。我需要测试用户（域\用户名）是否位于特定组中，是的，这包括嵌套组。

我发现在处理当前登录用户时，WindowsPrincipal.IsInRole() 效果非常好。但我的情况并非如此。我需要能够传入任意 DOMAIN\username 或 UPN（我将采用最容易实现的方式），并且如果它们是 X 组的成员，则返回 true/false，即使它们只是 X 组的间接成员组 X（例如：用户是组 Y 的成员，组 Y 是组 X 的成员）。

我研究过 WindowsIdentity，也许它对 C# 来说是新的，但我只是没有找到一种方法来执行 WindowsIdentity("MYDOMAIN\User1") 之类的操作。嗯，我做到了，但从未让它发挥作用。

使用 C#，给定 DOMAIN\username，这不是当前登录的用户，我如何确定他们是否是 DOMAIN\group 的成员？

Answer 1

您可以为此使用 LDAP 查询。这是一篇好文章

Howto：（几乎）通过 C# 实现 Active Directory 中的所有内容

Answer 2

这是我使用过的一个有效的函数，您应该几乎可以按原样使用它。您可能必须创建 ParseUserDomain 但这非常简单：

/// <summary>
/// Checks if a user in is a active directory group.
/// <summary>
/// <param name="username">Can contain the domain and username or just username
///    (eg. domain\username or username).  If no domain is specified, the default
///    domain is used.</param>
/// <param name="group">Active directory group to check.  Group name only.  No
///    leading domain as the domain from the user is used.</param>
/// <returns></returns>
public bool UserIsInActiveDirectoryGroup(string username, string group)
{
    bool isInGroup = false;
    string user = "";
    string domain = "";
    // Parses off domain and user to seperate values
    ParseUserDomain(username, out domain, out user);   

    if (string.IsNullOrEmpty(user) ||
        string.IsNullOrEmpty(domain) ||
        string.IsNullOrEmpty(group))
    {
        return false;
    }

    using (PrincipalContext ADContext = new PrincipalContext(ContextType.Domain,
        domain))
    {
        using (GroupPrincipal principalGroup = 
            GroupPrincipal.FindByIdentity(ADContext, group))
        {
            if (principalGroup != null)
            {
                using (UserPrincipal ADPrincipalUser = 
                    UserPrincipal.FindByIdentity(ADContext, user))
                {
                    // True means deep search
                    var users = principalGroup.GetMembers(true);
                    isInGroup = users.Contains(ADPrincipalUser);
                }
            }
        }
    }
    return isInGroup;
}

Answer 3

我在一个递归查询中回答了Stack Overflow 中名为 Find Recursive 的类似条目使用 C# 的组成员身份 (Active Directory)。更改我在那里提供的代码可以让您做您想做的事情。

Answer 4

回答自己的问题：我尝试了所提供的解决方案，但并不是为了让它们发挥作用。请注意，我 100% 确定这是由于我对 C# 缺乏经验，与评论者发布的内容无关。爱并感谢所有提供帮助的评论者。

对我有用的是： http:// /ddkonline.blogspot.com/2010/05/how-to-recursively-get-group-membership.html

我确实必须做一些基本的调整才能使上述解决方案适合我的情况（更改例如 LDAP 参数），但它基本上有效。如果是组成员则返回 true，否则返回 false。我希望这能为未来的搜索者节省一些头发，因为我已经失去了一把。再次感谢所有发布帮助的人。