从受信任域将成员添加到 AD 组

Question

我有两个处于受信任关系的域，我正试图通过 C# Web 应用程序对其进行管理。为此，我必须模拟两个不同的技术用户，但效果很好，所以我不会强调这部分代码。

要为文件系统构建适当且易于管理的 ACL，我必须

• 在 domainA 中创建一个组（好的！）
• 在域 B 中查找用户（好的！）
• 将用户添加到组（提交更改时失败，错误消息：There is no such object on the server. (Exception from HRESULT: 0x80072030)）

如果我要添加来自同一域的用户，则代码可以完美运行，所以我相信我在这里只遗漏了一小部分信息。我使用this document 作为参考，也看到了this question（还有一些人引用了这个错误消息），但它们都没有帮助。

代码（删除了 try-catch 块以使其更简单）

// de is a DirectoryEntry object of the AD group, received by the method as a parameter
// first impersonation to search in domainB
// works all right
if (impersonator.impersonateUser("techUser1", "domainB", "pass")) {
    DirectoryEntry dom = new DirectoryEntry("LDAP://domainB.company.com/OU=MyOU,DC=domainB,DC=company,DC=com", "techUser1", "pass");
    de.Invoke("Add", new object[] { "LDAP://domainB.company.com/CN=theUserIWantToAdd,OU=MyOU,DC=domainB,DC=company,DC=com" });
    // de.Invoke("Add", new object[] { "LDAP://domainA.company.com/CN=anotherUserFromDomainA,OU=AnotherOU,DC=domainB,DC=company,DC=com" });
    impersonator.undoImpersonation();
}

// second impersonation because the group (de) is in domainA
// and techUser2 has account operator privileges there
if (impersonator.impersonateUser("techUser2", "domainA", "pass"))
{
    de.CommitChanges();
    impersonator.undoImpersonation();
    return true;
}
else
{
    // second impersonation was unsuccessful, so return an empty object
    return false;
}

第 6 行有效，如果我对其进行调试或强制将属性写入 HttpResponse，它显然就在那里。所以 LDAP 查询似乎没问题。

另外，如果我注释掉第 6 行并取消注释第 7 行，所以基本上我添加了来自同一域的用户，整个事情都可以奇迹般地运行。使用domainB，我被困住了。有什么好的建议吗？

Answer 1

按照您的代码，我看到您将de 作为参数，它位于Domain A 中。然后你正在创建DirectoryEntry 对象dom，它得到impersonated，但从未被使用过。但是，您尝试使用LDAP 直接将对象从Domain B 添加到de。这一行：

de.Invoke("Add", new object[{"LDAP://domainB.company.com/CN=theUserIWantToAdd,OU=MyOU,DC=domainB,DC=company,DC=com" }); 

没有得到impersonated。

假设您的impersonation 工作正常， 使用已经是impersonated 的dom 对象和DirectorySearcher 在Domain B 中查找用户，然后从@987654336 添加用户对象@到de。

...
using (DirectoryEntry dom = new DirectoryEntry("LDAP://domainB.company.com/OU=MyOU,DC=domainB,DC=company,DC=com", "techUser1", "pass"))
{
    using (DirectorySearcher searcher = new DirectorySearcher(dom))
    {
        searcher.Filter = "(&(objectClass=user)(CN=theUserIWantToAdd))";
        SearchResult result = searcher.FindOne();
        de.Invoke("Add", new object[] { result.Path });
    }
}
...

UDPATE

此示例将向您展示如何从一个域中获取用户 SID，从另一个域中搜索组并使用 SID 将用户添加到组中。

//GET THE USER FROM DOMAIN B
using (UserPrincipal userPrincipal = UserPrincipal.FindByIdentity(domainContext, UPN))
{
    if (userPrincipal != null)
    {
       //FIND THE GROUP IN DOMAIN A
       using (GroupPrincipal groupPrincipal = GroupPrincipal.FindByIdentity(domainContext, groupName))
       {
          if (groupPrincipal != null)
          {
             //CHECK TO MAKE SURE USER IS NOT IN THAT GROUP
             if (!userPrincipal.IsMemberOf(groupPrincipal))
             {
                string userSid = string.Format("<SID={0}>", userPrincipal.SID.ToString());
                DirectoryEntry groupDirectoryEntry = (DirectoryEntry)groupPrincipal.GetUnderlyingObject();
                groupDirectoryEntry.Properties["member"].Add(userSid);
                groupDirectoryEntry.CommitChanges();
              }
           }
        }
     }
 }

请注意，我跳过了上面代码中的所有impersonation。

Answer 2

最终奏效的是按照 Burzum 的建议使用校长。您可以在问题中链接的 MSDN 文章中看到的原始代码示例在此处不起作用。因此，基于 Principal 的方法是必须的，还不够。在提交新组的更改之前，您还需要一行：

group.Properties["groupType"].Value = (-2147483644);

默认值为 0x8000000，我必须将其更改为 0x80000004 以使其能够接受来自另一个域的 FSP。

所以现在组存在，它有成员，它被添加到文件夹的 ACL 中。