使用 C# 从 LDAP 获取组权限（阅读 ACL）

Question

我喜欢从组中获取权限。 例如此组中的用户可以读取或写入...

我使用 Microsoft ActiveDirectory。

使用 DirectorySearcher 我这样搜索：

DirectorySearcher searcher = new DirectorySearcher(rootDSE)
{
    Filter = searchString,
    //SecurityMasks = SecurityMasks.Dacl | SecurityMasks.Owner | SecurityMasks.Group | SecurityMasks.Sacl
    SecurityMasks = SecurityMasks.Dacl | SecurityMasks.Group
    //SecurityMasks = SecurityMasks.Dacl
    //SecurityMasks = SecurityMasks.Group
            };

ntSecurityDescriptor 是我的代码中的一个字节数组

group["ntSecurityDescriptor"][0] as byte[]

到目前为止一切顺利

现在我将尝试列出权限：

static void ReadAccess(byte[] sec)
{
    System.DirectoryServices.ActiveDirectorySecurity retVal = new System.DirectoryServices.ActiveDirectorySecurity();
    retVal.SetSecurityDescriptorBinaryForm(sec);

    //AuthorizationRuleCollection arc = retVal.GetAccessRules(true, false, typeof(System.Security.Principal.NTAccount));
    AuthorizationRuleCollection arc = retVal.GetAccessRules(true, false, typeof(System.Security.Principal.SecurityIdentifier));

    Console.WriteLine("\n\n");
    //AuthorizationRule || ActiveDirectoryAccessRule
    foreach (ActiveDirectoryAccessRule acr in arc)
    {
        string sid = null;
        try
        {
            sid = (acr.IdentityReference).Translate(typeof(NTAccount)).Value;
        }
        catch { }

        bool all = acr.ActiveDirectoryRights == ActiveDirectoryRights.GenericAll;
        bool read = acr.ActiveDirectoryRights == ActiveDirectoryRights.GenericRead;
        bool write = acr.ActiveDirectoryRights == ActiveDirectoryRights.GenericWrite;
        bool execute = acr.ActiveDirectoryRights == ActiveDirectoryRights.GenericExecute;
        bool extended = acr.ActiveDirectoryRights == ActiveDirectoryRights.ExtendedRight;

        Console.WriteLine("{0}\t{1}\t{2}\t{3}\t{4}", all, read, write, execute, extended);
        Console.WriteLine("{0}\t{1}\t{2}", acr.ActiveDirectoryRights, acr.AccessControlType, sid);
        Console.WriteLine("\n");
    }
}

不明白结果

我想我走错路了 => 我希望任何人都可以帮助我

Answer 1

如果我的理解正确，您会在您的组中看到“ADM_Group”的权限，但是当您查看代码中的权限时，您看不到该权限。

您通过在GetAccessRules() 的第二个参数中传递false 来排除继承的权限：

retVal.GetAccessRules(true, false, typeof(System.Security.Principal.SecurityIdentifier))

因此，如果它是授予“ADM_Group”权限的继承权限，那么也许这就是您看不到它的原因。

在 AD 用户和计算机中，您可以单击“高级”（或在您的情况下为“Erweitert”）以查看权限中的每个单独的 ACL。屏幕截图中的视图结合了 ACL 以提供权限的简化视图。