Winform autoryzacja użytkownika za pomocą aktywnego katalogu

Question

Mam sytuacji gdzie używam następujący kod do weryfikacji członkostwa użytkownika w AD przed wykonaniem zadania w moim app

using System.Security.Principal; 
WindowsIdentity identity = WindowsIdentity.GetCurrent(); 
WindowsPrincipal principal = new WindowsPrincipal(identity); 
return principal.IsInRole("someGroup"); 

Powyższy kod działa poprawnie na komputerach w mojej domenie, jednak mam kilka maszyn, które nie są w mojej domenie, na których mam zainstalowaną aplikację WINFORM. Jak mogę zweryfikować członkostwo użytkownika w AD?

Edytuj - czy istnieje sposób na monitowanie logowania do systemu Windows?

Answer 1

Ponieważ komputer nie jest w ogóle przyłączony do domeny, nie możemy użyć WindowsIdentity lub WindowsPrincipal, a następnie sprawdzić jego metodę IsInRole(). Metoda IsInRole() działa tylko wtedy, gdy komputer jest dołączony do domeny i używa konta komputera domeny do wykonania S4USelf.

Nie można również użyć podejścia LogonUser, ponieważ komputer nie pozwala na utworzenie sesji logowania z niezaufanego lasu.

Myślę, że możemy tylko przesyłać zapytania bezpośrednio do Active Directory, aby uzyskać potrzebne informacje. Kod w opublikowanej witrynie Microsoft KB nie działa tak dobrze, o ile mogę to stwierdzić. Próbuje zapytać o atrybut memberOf. Informacje o grupie nie zawsze są dostępne z atrybutów memberOf.

Właśnie napisałem funkcję IsInRole() za pomocą AccountManagement. Chyba właśnie tego chcesz. Funkcja IsInRole() wywoła funkcję rekursywną IsInGroup(), aby znaleźć wszystkie grupy, do których należy użytkownik.

private bool IsInRole(string domain, string username, string password, string role) 
{ 
    using (var context = new PrincipalContext(ContextType.Domain, domain, username, password)) 
    { 
     GroupPrincipal group = GroupPrincipal.FindByIdentity(context, IdentityType.SamAccountName, role); 
     UserPrincipal user = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, username); 
     return IsInGroup(user, group); 
    } 
} 

private bool IsInGroup(Principal principal, GroupPrincipal group) 
{ 
    if (principal.IsMemberOf(group)) 
     return true; 

    foreach (var g in principal.GetGroups()) 
    { 
     if (IsInGroup(g, group)) 
      return true; 
    } 

    return false; 
} 

Aby użyć tej funkcji IsInRole(), należy podać nazwę domeny i dane uwierzytelniające domeny. Jeśli podana nazwa użytkownika i hasło są nieprawidłowe, otrzymasz wyjątek.

Potrzebujesz .NET 3.5 SP1 do korzystania z interfejsu API AccountManagement. Możesz również zwrócić uwagę na to hotfix. API AccountManagement ma pewne błędy, jeśli działa w niektórych środowiskach. Może być konieczne zastosowanie poprawki.