UserPrincipal.FindByIdentity Uprawnienia

Question

Próbuję użyć biblioteki .NET System.DirectoryServices.AccountManagement, aby uzyskać UserPrincipal dla określonego użytkownika usługi Active Directory.

Mam następujący kod:

PrincipalContext context = new PrincipalContext(ContextType.Domain, "DomainName"); 
userPrincipal = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, username); 

Ten kod jest uruchomiony jako ważnego użytkownika domeny, ale kiedy go wykonać otrzymuję następujący wyjątek:

System.DirectoryServices. DirectoryServicesCOMException (0x8007052E): Błąd logowania: nieznana nazwa użytkownika lub nieprawidłowe hasło.

Co ciekawe jest to, że mogę zrobić następującą rozmowę, używając tego samego kontekstu, bez problemu:

context.ValidateCredentials(username, password, ContextOptions.Negotiate) 

Pomysły?

Answer 1

Należy użyć konstruktora PrincipalContext, który pobiera nazwę użytkownika i hasło.

Powodem, dla którego funkcja sprawdzania poprawności działa, jest fakt, że wykorzystuje ona podane poświadczenia do powiązania z katalogiem.

Answer 2

Wygląda na to, że masz zapisane poświadczenia sieciowe. W systemie Windows można określić użycie różnych poświadczeń sieciowych podczas próby uzyskania dostępu do zasobów sieciowych. Mogę odtworzyć dokładnie ten sam problem, co widzisz, konfigurując nieprawidłowe poświadczenia sieciowe.

Zakładając, że twoja domena nazywa się yourdomain.com, możesz nakazać systemowi Windows, aby zawsze używała określonej nazwy użytkownika i hasła, ilekroć rozmawia z każdym komputerem z wystarczającą ilością domeny twojadomena.com.

=== systemu Windows 7/2008 ===

1. Uruchom "Crendentail Manager".
2. W sekcji poświadczenia systemu Windows, kliknij Add a Windows credentials
3. w adresie sieci, umieścić w *.yourdomain.com
4. W nazwy użytkownika i hasła, umieścić w niewłaściwej nazwy użytkownika lub nieprawidłowe hasło

=== Windows XP/2000/2003 ===

1. Kliknij start i Uruchom
2. Wpisz control keymgr.dll
3. Kliknij przycisk Add na „Przechowywane nazwy użytkowników i hasła” dialogowych
4. W polu tekstowym Server, umieszczone w *.yourdomain.com
5. W nazwy użytkownika i hasła, umieścić w niewłaściwej nazwy użytkownika lub nieprawidłowe hasło

Jeśli jest to naprawdę problem, przed którym stoisz, łatwym rozwiązaniem jest usunięcie zapisanych haseł.

Dlaczego metoda context.ValidateCredentials (nazwa użytkownika, hasło, ContextOptions.Negotiate) działa?Dzieje się tak dlatego, że inicjujesz kolejne uwierzytelnianie Kerberos/NTLM, ponieważ ponownie dajesz uername i. Pod maską, jeśli wybrano Kerberos, wysłał kontroler domeny podaną nazwę użytkownika i hasło oraz wymieniłby się biletem TGT Kerberos. Następnie Twój komputer otrzymuje bilet usługi na serwerze LDAP przy użyciu tego biletu TGT. Następnie urządzenie wyśle ​​ten bilet usługi do serwera LDAP. Należy zauważyć, że ten bilet usługi nie zostanie zachowany w bieżącej sesji logowania.

Dlaczego UserPrincipal.FindByIdentity nie działa? Jeśli nie masz zapisanego hasła, normalnie powinno działać, ponieważ system Windows po prostu użyje bieżącego biletu TGT użytkownika do wymiany na bilet usługi serwera LDAP. Nie jest zaangażowany proces sprawdzania nazwy użytkownika/hasła. Jeśli jednak masz złe hasło do nazwy użytkownika, system Windows pomyśli, że nie powinien używać aktualnego biletu TGT dla użytkownika. Zamiast tego powinien otrzymać nowy bilet TGT za pomocą zapisanego hasła sieciowego. To jest powód widzisz System.DirectoryServices.DirectoryServicesCOMException (0x8007052E): Logon failure: unknown user name or bad password.