域 A 中的用户可以成为域 B 中的组的成员吗？

Question

通过 C# 中的目录搜索器，我们希望从 Windows 中的 Active Directory 中获取有关用户的信息。我们想知道特定用户的所有组：

var lDomain = "DomainA";
var lSamAccountName = "MyUserName";

var lDirectoryEntry = new DirectoryEntry("LDAP://" + lDomain);

using (DirectorySearcher lDirectorySearcher = new DirectorySearcher(String.Format("(&(objectClass=user)(sAMAccountName={0}))", lSamAccountName)))
{
    lDirectorySearcher.SearchRoot = lDirectoryEntry;
    lDirectorySearcher.SearchScope = SearchScope.Subtree;
    lDirectorySearcher.PropertiesToLoad.Add("memberOf");

    [...]
}

问题 1： 域 A 中的用户是否可能是域 B 中定义的组的成员？

问题 2： 森林 A 中的用户是否可能是森林 B 中定义的组的成员？

Answer 1

是的，用户可以是不同域中组的成员。这是由组的范围定义的。

1. 通用

来自同一林中任何域（域集合）的用户都可以在该组中。

1. 全球

只允许来自同一域的用户

1. 本地域

只允许来自任何域或任何受信任域的用户（这完全包括其他林）。

如需进一步阅读，请转至here。