Блог

Я создаю веб-приложение, которое подключается к Active Directory и позволяет пользователям редактировать свои собственные данные в Active Directory из приложения.

Пользователи могут видеть сведения о других пользователях, поэтому приложение использует проверку подлинности Windows, чтобы разрешить редактирование только собственных данных пользователя. Очевидно, что я не могу предоставить каждому пользователю права администратора, чтобы разрешить это, поэтому при настройке записи каталога я передаю ему учетные данные для учетной записи службы администратора.

После достижения фиксации изменений я вижу, что учетные данные ADEntry верны. Однако, похоже, что он не использует переданные учетные данные, а вместо этого использует учетные данные для проверки подлинности Windows.

Когда пользователь-администратор запускает приложение, он может изменять детали, но когда пользователь, не являющийся администратором, запускает приложение, он получает сообщение об ошибке — доступ запрещен — при достижении CommitChanges() . Это наводит меня на мысль, что он использует учетные данные для проверки подлинности Windows, а не те, которые указаны в DirectoryEntry (учетные данные)

Есть идеи? Нужно ли мне использовать олицетворение?

 DirectoryEntry ADEntry()
{
    using (DirectoryEntry ADEntry = new DirectoryEntry(myDomain, myAdminServiceUsername, myAdminServicePassword, AuthenticationTypes.Secure))

        {
            return ADEntry;
        }
}

DirectorySearcher ADSearcher()
{
    using(DirectorySearcher ADSearcher = new DirectorySearcher(ADEntry()))
    {
        return ADSearcher;
    }
}

SearchResult GetADSearchResult(string userToFind)
{
    SearchResult searchResult = new SearchResult();
    DirectorySearcher ADS = ADSearcher();
    ADS.Filter = "(amp;(objectClass=user)(sAMAccountname="   userToFind   "))";
    searchResult = ADS.FindOne();
    return searchResu<
}

void SetProperty(string userToFind, string propertyToChange, string newPropertyValue)
{
    SearchResult searchResult = GetADSearchResult(userToFind);
    DirectoryEntry _ADEntry = searchResult.GetDirectoryEntry();
    if (_ADEntry.Properties.Contains(propertyToChange))
    {  
        _ADEntry.Properties[propertyToChange].Remove(_ADEntry.Properties[propertyToChange].Value);
    }
    _ADEntry.Properties[propertyToChange].Insert(0, newPropertyValue);
    _ADEntry.CommitChanges();
}
  

Эти методы создают, немедленно удаляют и затем возвращают некоторые экземпляры объектов:

 DirectoryEntry ADEntry()
{
    using (DirectoryEntry ADEntry = new DirectoryEntry(myDomain, myAdminServiceUsername, myAdminServicePassword, AuthenticationTypes.Secure))
    {
        return ADEntry;
    }
}

DirectorySearcher ADSearcher()
{
    using(DirectorySearcher ADSearcher = new DirectorySearcher(ADEntry()))
    {
        return ADSearcher;
    }
}
  

Итак, это:

 ...
DirectorySearcher ADS = ADSearcher();
ADS.Filter = "(amp;(objectClass=user)(sAMAccountname="   userToFind   "))";
searchResult = ADS.FindOne();
...
  

… может быть эффективно переведен на это:

 var directoryEntry = new DirectoryEntry(myDomain, myAdminServiceUsername, myAdminServicePassword, AuthenticationTypes.Secure);
directoryEntry.Dispose();

var directorySearcher = = new DirectorySearcher(directoryEntry);
directorySearcher.Dispose();

directorySearcher.Filter = "(amp;(objectClass=user)(sAMAccountname="   userToFind   "))";
var searchResult = directorySearcher.FindOne();
  

К сожалению, у меня нет AD, доступного для тестирования, и возможно, что это не основная причина вашей проблемы. Тем не менее, я бы рекомендовал исправить код, чтобы не использовать экземпляры объектов после их удаления. Лучшим подходом может быть следующее:

 SearchResult searchResu<
using (var directoryEntry = new DirectoryEntry(myDomain, myAdminServiceUsername, myAdminServicePassword, AuthenticationTypes.Secure))
using (var directorySearcher = new DirectorySearcher(directoryEntry))
{
    directorySearcher.Filter = "(amp;(objectClass=user)(sAMAccountname="   userToFind   "))";
    searchResult = directorySearcher.FindOne();
}

// It's OK to use searchResult here, it's not `IDisposable`.