【发布时间】：2017-09-27 23:05:11
【问题描述】：
我工作的公司有一个产品，它使用 Active Directory 来启用我们产品的安全功能，并使用包含 DirectoryEntry 和 DirectorySearcher 组件的库。
如果某人是FOO 组的成员，则他们具有标准访问权限。如果他们是FOO-ADMIN 的成员，则他们拥有管理员权限。
我们有一个不使用 Active Directory 的潜在客户。他们有一个运行 LDAP 的 Apache 服务器，他们提供了这个屏幕截图。
上面，看来我需要连接到 xxx.xxx.5.101:389 的域（即 DirectoryEntry("LDAP://xxx.xxx.5.101:389")） ，但是“DN 或用户”字段如何与密码匹配？
Active Directory 组件是否能够在 Apache 系统上进行 LDAP 身份验证，或者代码是否需要完全不同的控件？
这是我整理的一些粗略代码：
/// <summary>
/// Untested Method
/// </summary>
/// <param name="hostIp">String (EX: xxx.xxx.5.101)</param>
/// <param name="port">Int (EX: 389)</param>
/// <param name="user">String (EX: cn=danibla,ou=sysdata,ou=townhall,o=toh)</param>
/// <param name="password">String - provided password</param>
/// <param name="groupsLike">String (EX: find all groups like FOO)</param>
/// <returns>String[] array of matching membership groups</returns>
public static String[] GetMemberships(String hostIp, int port, String user, String password, String groupsLike)
{
var results = new List<String>();
var path = String.Format("LDAP://{0}:{1}", hostIp, port);
using (var entry = new DirectoryEntry(path, user, password))
{
using (var search = new DirectorySearcher(entry, String.Format("(CN={0}*)", groupsLike)))
{
var expression = new Regex("CN=([^,]*),", RegexOptions.Compiled & RegexOptions.IgnoreCase);
foreach (SearchResult item in search.FindAll())
{
var match = expression.Match(item.Path);
var name = match.Groups[1].Value;
if (name.StartsWith(groupsLike, StringComparison.OrdinalIgnoreCase))
{
if (!results.Contains(name))
{
results.Add(name);
}
}
}
}
}
return results.ToArray();
}
我对他们为“DN 或用户”字段传递的“类似路径”参数感到困扰，尤其是当它显示他们提供密码时。
我们没有 Apache 环境来测试它。我们公司不希望我带着很多不必要的问题去找这个客户。
更新：
仍然需要一种方法来做到这一点。开始赏金。也许对此引起一些关注会给我一个解决方案。
在上面的屏幕截图中，代码中username 的值既是cn-mikead,ou=sysdata,ou=townhall,o=toh，又是mikead，两者在调用FindAll() 时都有相同的COM Exception。
这是我现在的代码。
public static String[] Groups(String domain, int port, String username, int authenticationValue, String startsWith)
{
String name;
var results = new List<String>();
var ldapPath =
String.IsNullOrEmpty(domain) ? null :
(0 < port) ?
String.Format("LDAP://DC={0}:{1}", domain, port) :
String.Format("LDAP://DC={0}", domain);
using (var entry = new DirectoryEntry(String.Format("WinNT://{0}/{1}", Environment.UserDomainName, username)))
{
name = String.Format("{0}", entry.Properties["fullName"].Value);
}
var filter = String.Format("(CN={0}", name);
var expression = new Regex("CN=([^,]*),", RegexOptions.Compiled & RegexOptions.IgnoreCase);
using (var entry = new DirectoryEntry(ldapPath))
{
entry.AuthenticationType = (AuthenticationTypes)authenticationValue;
using (var search = new DirectorySearcher(entry) { Filter = filter })
{
search.PropertiesToLoad.Add("memberOf");
try
{
foreach (SearchResult item in search.FindAll())
{
foreach (var property in item.Properties["memberOf"])
{
var name = expression.Match(String.Format("{0}", property)).Groups[1].Value;
if (name.StartsWith(startsWith, StringComparison.OrdinalIgnoreCase))
{
if (!results.Contains(name))
{
results.Add(name);
}
}
}
}
}
catch (Exception err)
{
LogError("Groups", err);
}
}
}
return results.ToArray();
}
【问题讨论】：
-
LDAP是一个协议，所以只要你使用的产品只使用协议的标准操作，连接Apache DS而不是AD应该没有问题。如果您使用不属于 LDAP 协议一部分的 AD 自定义控件，问题将会出现，但只有您知道；)
标签： c# active-directory ldap directoryentry directorysearcher