使用.Net确定用户是否属于特定的AD组

Question

如何使用C#确定用户是否属于特定的AD用户组，而无需枚举用户的所有组？能否使用单个LDAP查询或搜索来完成此操作？

- rami

---

可能是重复的内容：在C# + Asp.net中查看用户是否属于Active Directory组 - Cade Roux

可能是重复的问题：如何编写LDAP查询以测试用户是否为组成员？ - marc_s

Answer 1

如果您正在检查当前用户并且知道您想要的组的名称，那么您不需要枚举所有组。以下是VB.NET的示例代码：

Public Function IsInGroup(ByVal GroupName As String) As Boolean
    Dim MyIdentity As System.Security.Principal.WindowsIdentity = System.Security.Principal.WindowsIdentity.GetCurrent()
    Dim MyPrincipal As System.Security.Principal.WindowsPrincipal = New System.Security.Principal.WindowsPrincipal(MyIdentity)
    Return MyPrincipal.IsInRole(GroupName)
End Function

同样地，在C#中：

private static bool IsInGroup(string GroupName)
{
    System.Security.Principal.WindowsIdentity MyIdentity = System.Security.Principal.WindowsIdentity.GetCurrent();
    System.Security.Principal.WindowsPrincipal MyPrincipal = new System.Security.Principal.WindowsPrincipal(MyIdentity);
    return MyPrincipal.IsInRole(GroupName);
}

如果你需要调整以检查不同用户的成员资格或其他内容，可以在WindowsIdentity文档中找到更多示例。

- ewall

---

这对我非常有帮助。如果您需要检查不同用户的成员身份，只需执行以下操作：var userPrincipal = new WindowsPrincipal(new WindowsIdentity(username)); - Evan M

这个可行，但你将无法获取用户所属的所有组的信息，只能获取其中一些。 为了获得用户所属的所有组的完整列表，请查看此答案： （https://dev59.com/Cm435IYBdhLWcg3wuikn） - Roboblob

有趣。谢谢，@Roboblob！ - ewall

在我的环境中，有1300多个组，IsInRole() 比 GetAuthorizationGroups() 快几个数量级 -- 后者需要几秒钟才能完成。当 IsInRole() 返回负值时，我仍然使用 GetAuthorizationGroups() 作为备用方法来测试间接组成员身份。谢谢！ - adipy

Answer 2

我认为你确实需要枚举群组。

请查看以下两个答案，了解各种技术：

查看这个链接：在C# + Asp.net中查看用户是否是Active Directory群组的一部分 查看这个链接：如何编写LDAP查询以测试用户是否是组的成员？

- Cade Roux