我使用此代码获取当前用户的组。但我想手动给用户，然后得到他的组。我该怎么做？
using System.Security.Principal;
public ArrayList Groups()
{
ArrayList groups = new ArrayList();
foreach (IdentityReference group in System.Web.HttpContext.Current.Request.LogonUserIdentity.Groups)
{
groups.Add(group.Translate(typeof(NTAccount)).ToString());
}
return groups;
}
【问题讨论】：
标签： c# asp.net active-directory
如果您使用 .NET 3.5 或更高版本，则可以使用新的 System.DirectoryServices.AccountManagement (S.DS.AM) 命名空间，这比以前更容易。
在此处阅读所有相关信息：Managing Directory Security Principals in the .NET Framework 3.5
更新： 很遗憾，较早的 MSDN 杂志文章不再在线 - 您需要来自 Microsoft 的 download the CHM for the January 2008 MSDN magazine 并阅读其中的文章。
基本上，您需要有一个“主体上下文”（通常是您的域）、一个用户主体，然后您就可以很容易地获得它的组：
public List<GroupPrincipal> GetGroups(string userName)
{
List<GroupPrincipal> result = new List<GroupPrincipal>();
// establish domain context
PrincipalContext yourDomain = new PrincipalContext(ContextType.Domain);
// find your user
UserPrincipal user = UserPrincipal.FindByIdentity(yourDomain, userName);
// if found - grab its groups
if(user != null)
{
PrincipalSearchResult<Principal> groups = user.GetAuthorizationGroups();
// iterate over all groups
foreach(Principal p in groups)
{
// make sure to add only group principals
if(p is GroupPrincipal)
{
result.Add((GroupPrincipal)p);
}
}
}
return result;
}
仅此而已！您现在有了用户所属的授权组的结果（列表） - 遍历它们，打印出它们的名称或您需要做的任何事情。
更新： 为了访问UserPrincipal 对象上未显示的某些属性，您需要深入了解底层DirectoryEntry：
public string GetDepartment(Principal principal)
{
string result = string.Empty;
DirectoryEntry de = (principal.GetUnderlyingObject() as DirectoryEntry);
if (de != null)
{
if (de.Properties.Contains("department"))
{
result = de.Properties["department"][0].ToString();
}
}
return result;
}
更新 #2： 将这两个 sn-ps 代码放在一起似乎应该不会太难......但是没关系 - 就这样吧：
public string GetDepartment(string username)
{
string result = string.Empty;
// if you do repeated domain access, you might want to do this *once* outside this method,
// and pass it in as a second parameter!
PrincipalContext yourDomain = new PrincipalContext(ContextType.Domain);
// find the user
UserPrincipal user = UserPrincipal.FindByIdentity(yourDomain, username);
// if user is found
if(user != null)
{
// get DirectoryEntry underlying it
DirectoryEntry de = (user.GetUnderlyingObject() as DirectoryEntry);
if (de != null)
{
if (de.Properties.Contains("department"))
{
result = de.Properties["department"][0].ToString();
}
}
}
return result;
}
【讨论】：
UserPrincipal 上使用 - 请参阅我的更新答案以了解如何获取它。
GetAuthorizationGroups() 找不到嵌套组。要真正获取给定用户所属的所有组（包括嵌套组），请尝试以下操作：
using System.Security.Principal
private List<string> GetGroups(string userName)
{
List<string> result = new List<string>();
WindowsIdentity wi = new WindowsIdentity(userName);
foreach (IdentityReference group in wi.Groups)
{
try
{
result.Add(group.Translate(typeof(NTAccount)).ToString());
}
catch (Exception ex) { }
}
result.Sort();
return result;
}
我使用try/catch 是因为我在一个非常大的 AD 中的 200 个组中有 2 个例外，因为某些 SID 不再可用。 （Translate() 调用执行 SID -> 名称转换。）
【讨论】：
首先，GetAuthorizationGroups() 是一个很棒的函数，但不幸的是有两个缺点：
因此，我编写了一个小函数来替换 GetAuthorizationGroups()，使其具有更好的性能和错误安全性。它只对使用索引字段的查询进行 1 次 LDAP 调用。如果您需要的属性不仅仅是组名（“cn”属性），它可以轻松扩展。
// Usage: GetAdGroupsForUser2("domain\user") or GetAdGroupsForUser2("user","domain")
public static List<string> GetAdGroupsForUser2(string userName, string domainName = null)
{
var result = new List<string>();
if (userName.Contains('\\') || userName.Contains('/'))
{
domainName = userName.Split(new char[] { '\\', '/' })[0];
userName = userName.Split(new char[] { '\\', '/' })[1];
}
using (PrincipalContext domainContext = new PrincipalContext(ContextType.Domain, domainName))
using (UserPrincipal user = UserPrincipal.FindByIdentity(domainContext, userName))
using (var searcher = new DirectorySearcher(new DirectoryEntry("LDAP://" + domainContext.Name)))
{
searcher.Filter = String.Format("(&(objectCategory=group)(member={0}))", user.DistinguishedName);
searcher.SearchScope = SearchScope.Subtree;
searcher.PropertiesToLoad.Add("cn");
foreach (SearchResult entry in searcher.FindAll())
if (entry.Properties.Contains("cn"))
result.Add(entry.Properties["cn"][0].ToString());
}
return result;
}
【讨论】：
在 AD 中，每个用户都有一个属性 memberOf。这包含他所属的所有组的列表。
这是一个小代码示例：
// (replace "part_of_user_name" with some partial user name existing in your AD)
var userNameContains = "part_of_user_name";
var identity = WindowsIdentity.GetCurrent().User;
var allDomains = Forest.GetCurrentForest().Domains.Cast<Domain>();
var allSearcher = allDomains.Select(domain =>
{
var searcher = new DirectorySearcher(new DirectoryEntry("LDAP://" + domain.Name));
// Apply some filter to focus on only some specfic objects
searcher.Filter = String.Format("(&(&(objectCategory=person)(objectClass=user)(name=*{0}*)))", userNameContains);
return searcher;
});
var directoryEntriesFound = allSearcher
.SelectMany(searcher => searcher.FindAll()
.Cast<SearchResult>()
.Select(result => result.GetDirectoryEntry()));
var memberOf = directoryEntriesFound.Select(entry =>
{
using (entry)
{
return new
{
Name = entry.Name,
GroupName = ((object[])entry.Properties["MemberOf"].Value).Select(obj => obj.ToString())
};
}
});
foreach (var item in memberOf)
{
Debug.Print("Name = " + item.Name);
Debug.Print("Member of:");
foreach (var groupName in item.GroupName)
{
Debug.Print(" " + groupName);
}
Debug.Print(String.Empty);
}
}
【讨论】：
我的解决方案：
UserPrincipal user = UserPrincipal.FindByIdentity(new PrincipalContext(ContextType.Domain, myDomain), IdentityType.SamAccountName, myUser);
List<string> UserADGroups = new List<string>();
foreach (GroupPrincipal group in user.GetGroups())
{
UserADGroups.Add(group.ToString());
}
【讨论】：
在我的情况下，我可以毫无意外地继续使用 GetGroups() 的唯一方法是将用户 (USER_WITH_PERMISSION) 添加到有权读取 AD (Active Directory) 的组中。构造传递此用户和密码的 PrincipalContext 非常必要。
var pc = new PrincipalContext(ContextType.Domain, domain, "USER_WITH_PERMISSION", "PASS");
var user = UserPrincipal.FindByIdentity(pc, IdentityType.SamAccountName, userName);
var groups = user.GetGroups();
您可以在 Active Directory 中执行的步骤以使其正常工作：
- 在 Active Directory 中创建一个组（或创建一个组）并在安全选项卡下添加“Windows 授权访问组”
- 点击“高级”按钮
- 选择“Windows授权访问组”并点击“查看”
- 勾选“读取 tokenGroupsGlobalAndUniversal”
- 找到所需的用户并添加到您从第一步创建（采取）的组中
【讨论】：
这对我有用
public string[] GetGroupNames(string domainName, string userName)
{
List<string> result = new List<string>();
using (PrincipalContext principalContext = new PrincipalContext(ContextType.Domain, domainName))
{
using (PrincipalSearchResult<Principal> src = UserPrincipal.FindByIdentity(principalContext, userName).GetGroups())
{
src.ToList().ForEach(sr => result.Add(sr.SamAccountName));
}
}
return result.ToArray();
}
【讨论】：
答案取决于您要检索的组类型。 System.DirectoryServices.AccountManagement 命名空间提供了两种组检索方法：
GetGroups - 返回组对象的集合，这些对象指定当前主体所属的组。
这个重载方法只返回主体直接所属的组；不执行递归搜索。
GetAuthorizationGroups - 返回主体对象的集合，其中包含该用户所属的所有授权组。此函数仅返回属于安全组的组；不返回通讯组。
此方法递归搜索所有组并返回用户所属的组。返回的集合还可能包含系统将用户视为授权成员的其他组。
所以GetGroups 获得用户是直接 成员的所有 组，GetAuthorizationGroups 获得所有 授权 组用户是直接或间接成员。
尽管它们的命名方式不同，但其中一个不是另一个的子集。可能有GetGroups返回的组不是GetAuthorizationGroups返回的，反之亦然。
这是一个用法示例：
PrincipalContext domainContext = new PrincipalContext(ContextType.Domain, "MyDomain", "OU=AllUsers,DC=MyDomain,DC=Local");
UserPrincipal inputUser = new UserPrincipal(domainContext);
inputUser.SamAccountName = "bsmith";
PrincipalSearcher adSearcher = new PrincipalSearcher(inputUser);
inputUser = (UserPrincipal)adSearcher.FindAll().ElementAt(0);
var userGroups = inputUser.GetGroups();
【讨论】：
如果 Translate 在本地工作但不能远程工作，则 e.i group.Translate(typeof(NTAccount)
如果您希望使用 LOGGED IN USER 身份执行应用程序代码，请启用模拟。可以通过 IIS 或通过在 web.config 中添加以下元素来启用模拟。
<system.web>
<identity impersonate="true"/>
如果启用了模拟，应用程序将使用您的用户帐户中的权限执行。因此，如果登录用户有权访问特定的网络资源，那么他才能通过应用程序访问该资源。
感谢 PRAGIM 技术从他的勤奋视频中提供这些信息
asp.net 第 87 部分中的 Windows 身份验证：
https://www.youtube.com/watch?v=zftmaZ3ySMc
但是模拟会在服务器上产生大量开销
允许某些网络组的用户的最佳解决方案是在网络配置中拒绝匿名
<authorization><deny users="?"/><authentication mode="Windows"/>
在你的代码后面，最好在 global.asax 中，使用 HttpContext.Current.User.IsInRole ：
Sub Session_Start(ByVal sender As Object, ByVal e As EventArgs)
If HttpContext.Current.User.IsInRole("TheDomain\TheGroup") Then
//code to do when user is in group
End If
注意：组必须使用反斜杠 \ 即“TheDomain\TheGroup”
【讨论】：