C# System.DirectoryServices.AccountManagement 未知错误 (0x80005000) UserPrincipal.IsMemberOf()

Question

类似于以下 MSDN 线程中的问题：http://social.msdn.microsoft.com/Forums/en-MY/csharplanguage/thread/4c9fea6c-1d0a-4733-a8ac-e3b78d10e999

我正在尝试验证是否给定用户是某个组的成员，而我们现有的功能解决方案太慢（13-16 秒），我正在尝试加快速度。我目前有：

public bool IsMemberAD(string userName, string groupName)
{
    var pc = new System.DirectoryServices.AccountManagement.PrincipalContext(System.DirectoryServices.AccountManagement.ContextType.Domain);
    var user = System.DirectoryServices.AccountManagement.UserPrincipal.FindByIdentity(pc, System.DirectoryServices.AccountManagement.IdentityType.SamAccountName,
                                                 userName.ToLower());
    var group = System.DirectoryServices.AccountManagement.GroupPrincipal.FindByIdentity(pc, groupName);

    if (group == null || user == null) return false;

    return user.IsMemberOf(group);    
}

有趣的是，当用户不直接位于组中，而是目标组内的组的成员时，它只会返回错误。

例如：

Steve 和 Sam 是两个用户，GroupParent 和 GroupChild 是两个组。 Steve 和 GroupChild 是 GroupParent 的成员。 Sam 是 GroupChild 的成员。如果我在 (Steve, GroupParent) 上调用此函数，它将返回 true。如果我在 (Sam, GroupParent) 上调用它，则会收到错误。如果我在（“fdkjskghkf”，GroupParent）上调用它，它会返回 false。

我在上面链接了一篇有类似问题的文章，但他的解决方案对我不起作用，我仍然遇到同样的错误。有想法吗？

Answer 1

感谢 Jon Theriault 此处 下面的代码为我解决了这个问题。

string strName = System.Security.Principal.WindowsIdentity.GetCurrent().Name; // "MW\\dalem"
// This is here because of a .Net error that gets 0x80005000 on "isUser = user.IsMemberOf(groupU);"
string domainName = strName.Split('\\')[0]; 
var pc = new PrincipalContext(ContextType.Domain, domainName);

Answer 2

我记得当我编写类似的代码时，我确实遇到了一些奇怪的问题。我不确定您的呼叫失败的确切原因，但您可以扭转问题并执行以下操作：

return group.GetMembers(true).Contains(user);

Answer 3

你能尝试这样的事情吗：

public bool IsMemberAD(string userName, string groupName)
{
  PrincipalContext context = new PrincipalContext(ContextType.Domain, "WM2008R2ENT:389", "dc=dom,dc=fr", "jpb", "pwd");

  /* Retreive the user principal
   */
  UserPrincipal user = UserPrincipal.FindByIdentity(context, userName);
  if (user == null) return false;

  /* Retreive the group principal
   */
  GroupPrincipal targetGroup = GroupPrincipal.FindByIdentity(context, groupName);
  if (targetGroup == null) return false;

  /* Look for all the groups a user belongs to
   */
  PrincipalSearchResult<Principal> allGroups = user.GetAuthorizationGroups();

  var grp = (from g in allGroups
             where g.Sid == targetGroup.Sid
             select g).FirstOrDefault();

  return (!(grp == null));
} 

Answer 4

如果有人有兴趣的话。使用具有以下过滤器的 DirectorySearcher 大约快 60%。

字符串过滤器 = string.Format("(&(distinguishedName={1})(memberof:1.2.840.113556.1.4.1941:={0}))", dnOfUser, dnOfGroup);

过滤器将向上遍历，而不仅仅是用户的父级。

Answer 5

GetAuthorizationGroups() 找不到嵌套组。

要真正获取给定用户是包含的嵌套组的成员的所有组，请尝试以下操作：

using System.Security.Principal

private List<string> GetGroups(string userName)
{
    List<string> result = new List<string>();
    WindowsIdentity wi = new WindowsIdentity(userName);

    foreach (IdentityReference group in wi.Groups)
    {
        try
        {
            result.Add(group.Translate(typeof(NTAccount)).ToString());
        }
        catch (Exception ex) { }
    }

    result.Sort();
    return result;
}

使用 Try/Catch 因为我在一个非常大的 AD（50 万个对象）中遇到了一些异常，其中 200 个组中有 2 个，因为我的一些 SID（翻译确实） SID -> 名称转换）不再可用。
在我们庞大的广告中只需要< 1秒。