使用 WindowsIdentity.GetCurrent() 枚举组返回旧组集

Question

我有一个用户，当我尝试使用以下任一方法枚举她的组时 System.Security.Principal.WindowsIdentity.GetCurrent().Groups 在用户的计算机上 或 System.Web.HttpContext.Current.Request.LogonUserIdentity.Groups 在 IIS 服务器上，我得到了他们旧组的列表，而不是他们的新组。

我已经检查了他们进行身份验证的 DC，并且 ASP.NET 页面在 SharePoint 实例中运行，因此最喜欢的 LogonUserIdentity 是从那里提供的 Kerberos 票证。

我是否应该直接从 AD 中查找组，而不是依赖 WindowsIdentity 或 LogonUserIdentity？

Answer 1

如果您使用WindowsIdentity 或LogonUserIdentity，它将从存储在 Kerberos 票证授予票证 (TGT) 中的授权数据中检索组信息。

它功能强大且有用，因为一旦您通过身份验证并获得 Kerberos TGT，您无需再次查询 Active Directory 即可获取所有组信息。实际上，组枚举非常昂贵且复杂。因此，首选 Kerberos 票证方法，并且在您访问任何 Windows 资源时都会使用此方法。

但是，这也意味着在您将用户帐户添加到组后，WindowsIdentity 或 LogonUserIdentity 方法将不知道新添加的组。您必须清除您的 Kerberos 票证并重新获得它。您可以注销然后登录，也可以锁定屏幕并输入密码以解锁屏幕。

如果由于某些原因，您仍想自己进行组枚举，我建议您在 .NET 3.5 中使用UserPrincipal.GetAuthorizationGroups。它返回用户所属的所有安全组。