活动目录身份验证

Question

我正在使用下面的代码对 Active Directory 中的用户进行身份验证，但密码是以明文形式发送的。如何对我的密码进行哈希处理，然后将其发送到 Active Directory？

DirectoryEntry entry = new DirectoryEntry(path, username, pwd);
try
{
   //Bind to the native AdsObject to force authentication.
   object obj = entry.NativeObject;

   DirectorySearcher search = new DirectorySearcher(entry);

   search.Filter = "(SAMAccountName=" + username + ")";
   search.PropertiesToLoad.Add("cn");
   SearchResult result = search.FindOne();

   if (null == result)
   {
      return false;
   }

   //Update the new path to the user in the directory.
   _path = result.Path;
   _filterAttribute = (string)result.Properties["cn"][0];
}
catch (Exception ex)
{
   throw new Exception("Error authenticating user. " + ex.Message);
}

return true;

Answer 1

如果您使用的是 .NET 3.5，那么我强烈建议您切换到使用 System.DirectoryServices.AccountManagement 命名空间（阅读全部内容：Managing Directory Security Principals in the .NET Framework 3.5）。

S.DS.AM 中的很多事情都变得容易多了——比如验证用户身份：

PrincipalContext ctx = new PrincipalContext(ContextType.Domain);
ctx.ValidateCredentials("test", "test", ContextOptions.SecureSocketLayer);

安全地执行此操作的唯一方法是指定 ContextOptions.SecureSocketLayer 选项以强制使用受 SSL 保护的连接。

如果您无法迁移到 .NET 3.5 和 S.DS.AM，则需要查看您可以在 DirectoryEntry 的 fourth overloaded constructor 中定义的 AuthenticationTypes：

DirectoryEntry entry = 
     new DirectoryEntry(path, username, pwd, 
                        AuthenticationTypes.SecureSocketsLayer);

恐怕没有其他方法可以做到这一点 - 我认为您在客户端没有任何方法可以像 Windwos Server / Active Directory 那样散列密码并传递哈希值...