检查 ActiveDirectory 对象的授权

Question

我想测试任意用户是否对特定 Active Directory 对象的属性具有写访问权。我认为解决方案的一部分似乎是这样的：

NTAccount Account = new NTAccount("Domain\\XYZ");
SecurityIdentifier Sid =
(SecurityIdentifier)Account.Translate(typeof(SecurityIdentifier));

这似乎让我可以从用户的字符串表示中得到具体的表示。我认为的另一个难题是：

string strMemberString = "LDAP://OU=Test,DC=Domain,DC=local";
DirectoryEntry computers = new DirectoryEntry();
computers.Path = strMemberString;
computers.Options.SecurityMasks = SecurityMasks.Owner | SecurityMasks.Group
| SecurityMasks.Dacl | SecurityMasks.Sacl;

foreach (DirectoryEntry computer in computers.Children)
{
   if (computer.Name == "CN=Test")
   {
      ActiveDirectorySecurity sdc = computer.ObjectSecurity;
      //...

不知道从那里去哪里。我该如何完成这个？我应该追求一种完全不同的方式吗？我正在使用 .net 4.0。

我希望解决方案完全是 BCL 代码，而不是 PInvoke 或 WMI。

Answer 1

我认为最好的方法是寻找一个提供“有效权限”的类，如 AD 对象的安全选项卡中的高级对话框的选项卡所示：

它还存在一个名为ACLDiag.exe 的命令行工具，可以执行您想要的操作。

---

（已编辑） 要查找用户所属的组，您可以

• 编写一个递归查询程序，它在大型组织中表现不佳。

• 使用称为“LDAP_MATCHING_RULE_IN_CHAIN”的特殊匹配规则（请参阅Search Filter Syntax for more information）。我在this other question 中举了一个例子。它也有点长，但据我所知，这是检索安全和通讯组的唯一方法。

• 使用“tokenGroups”属性。它是一个计算属性，包含用户所属的每个 SecurityGroup 的 id，包括间接组。我认为这是您可以使用的，它由 UserPrincipal.GetAuthorizationGroups 方法提供（在 System.DirectoryServices.AccountManagement 命名空间中并在 .Net 3.5 中引入）

Answer 2

您需要检查 allowedAttributesEffective 属性。