我有两个处于信任关系中的域，我正尝试通过 C# Web 应用程序对其进行管理。为此，我必须模拟两个不同的技术用户，但这很好用，所以我不会强调那部分代码。

要为文件系统构建适当且易于管理的 ACL，我必须

• 在域 A 中创建一个组(OK!)
• 在域 B 中找到一个用户(OK!)
• 将用户添加到组(提交更改时失败，错误消息:服务器上没有这样的对象。(HRESULT 异常:0x80072030))

如果我添加来自同一域的用户，代码可以完美运行，所以我相信我在这里只遗漏了一小部分信息。我用了this document作为引用，看了this question以及(还有一些引用此错误消息)但它们都没有帮助。

代码(删除了 try-catch block 以使其更简单)

// de is a DirectoryEntry object of the AD group, received by the method as a parameter
// first impersonation to search in domainB
// works all right
if (impersonator.impersonateUser("techUser1", "domainB", "pass")) {
    DirectoryEntry dom = new DirectoryEntry("LDAP://domainB.company.com/OU=MyOU,DC=domainB,DC=company,DC=com", "techUser1", "pass");
    de.Invoke("Add", new object[] { "LDAP://domainB.company.com/CN=theUserIWantToAdd,OU=MyOU,DC=domainB,DC=company,DC=com" });
    // de.Invoke("Add", new object[] { "LDAP://domainA.company.com/CN=anotherUserFromDomainA,OU=AnotherOU,DC=domainB,DC=company,DC=com" });
    impersonator.undoImpersonation();
}

// second impersonation because the group (de) is in domainA
// and techUser2 has account operator privileges there
if (impersonator.impersonateUser("techUser2", "domainA", "pass"))
{
    de.CommitChanges();
    impersonator.undoImpersonation();
    return true;
}
else
{
    // second impersonation was unsuccessful, so return an empty object
    return false;
}

第 6 行有效，如果我调试它或强制将属性写入 HttpResponse，它显然在那里。所以 LDAP 查询似乎没问题。

此外，如果我注释掉第 6 行并取消注释第 7 行，那么基本上我添加了来自同一域的用户，整个过程奇迹般地运行。对于 domainB，我被卡住了。有什么好的建议吗？

最佳答案

按照您的代码，我看到您得到了 de作为参数，在 Domain A 中.然后你正在创建 DirectoryEntry对象 dom ，这是越来越 impersonated ，但永远不会习惯。但是，您正在尝试从 Domain B 添加一个对象至 de直接使用 LDAP .这一行:

de.Invoke("Add", new object[{"LDAP://domainB.company.com/CN=theUserIWantToAdd,OU=MyOU,DC=domainB,DC=company,DC=com" }); 

没有得到 impersonated .

假设您的 impersonation正常工作，使用dom已经是 impersonated 的对象与 DirectorySearcher在 Domain B 中找到用户然后从 Domain B 添加用户对象至 de .

...
using (DirectoryEntry dom = new DirectoryEntry("LDAP://domainB.company.com/OU=MyOU,DC=domainB,DC=company,DC=com", "techUser1", "pass"))
{
    using (DirectorySearcher searcher = new DirectorySearcher(dom))
    {
        searcher.Filter = "(&(objectClass=user)(CN=theUserIWantToAdd))";
        SearchResult result = searcher.FindOne();
        de.Invoke("Add", new object[] { result.Path });
    }
}
...

更新

此示例将向您展示如何获取用户 SID从一个域，从另一个域搜索组并使用 SID 将用户添加到组.

//GET THE USER FROM DOMAIN B
using (UserPrincipal userPrincipal = UserPrincipal.FindByIdentity(domainContext, UPN))
{
    if (userPrincipal != null)
    {
       //FIND THE GROUP IN DOMAIN A
       using (GroupPrincipal groupPrincipal = GroupPrincipal.FindByIdentity(domainContext, groupName))
       {
          if (groupPrincipal != null)
          {
             //CHECK TO MAKE SURE USER IS NOT IN THAT GROUP
             if (!userPrincipal.IsMemberOf(groupPrincipal))
             {
                string userSid = string.Format("<SID={0}>", userPrincipal.SID.ToString());
                DirectoryEntry groupDirectoryEntry = (DirectoryEntry)groupPrincipal.GetUnderlyingObject();
                groupDirectoryEntry.Properties["member"].Add(userSid);
                groupDirectoryEntry.CommitChanges();
              }
           }
        }
     }
 }

请注意，我跳过了所有 impersonation在上面的代码中。

关于c# - 从受信任的域中将成员添加到 AD 组，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/31984105/