如何查询 Active Directory 对象的有效权限？

Question

我正在尝试以编程方式确定当前用户是否对给定的 Active Directory 对象具有某些权限（特别是在这种情况下，我正在尝试确定该用户是否具有其他 Exchange 用户的“代理发送”权限或分发列表对象）。

我已经弄清楚如何使用 ADSI 访问 ntSecurityDescriptor 属性：我可以枚举 IADsSecurityDescriptor 的 DiscretionaryACL 属性中的 ACE。但是：

• 如何根据该数据确定受托人是否明确允许或拒绝“发送为”权限？
• 当通过组成员资格间接授予权限时，我如何发现这一点？我真的必须通过（递归地）检查用户所属的所有组来自己解析有效权限吗？当然，该任务必须有一个 API...

FWIW，我正在使用 ActiveDs.dll 类型库在 Delphi（即本机 Win32 代码）中进行编码，因此特定于 .NET 的解决方案对我没有太大帮助，除非它们的源代码为我提供了如何执行相同操作的线索本机代码中的东西。 PowerShell 也是如此。

---

在任何人开始之前：我已经知道 PR_EMS_AB_PUBLIC_DELEGATES 和 PR_EMS_AB_PUBLIC_DELEGATES_BL_O 扩展 MAPI 属性。然而，这不是我所追求的。这些属性指的是“代表发送”权限（也称为委托），而不是“代表发送”权限，这是完全不同的事情。

Answer 1

这是 MSDN 文章解释 - http://msdn.microsoft.com/en-us/library/windows/desktop/ms675580(v=VS.85).aspx。附带的示例显示了如何调用 API。