1

Есть два домена: domain1 и domain2.
В domain1 заведена некая группа GlobalGroup, куда добавлена еще одна группа Domain1Group.
В domain2 заведены два пользователя user1 и user2 и была создана группа Domain2Group.
Между доменами настроена двустороннее доверие. Группа Domain2Group была добавлена в группу GlobalGroup на первом домене.
Пользователь user1 включен в группу Domain1Group, пользователь user2 включен в группу Domain2Group.
Необходимо проверить, что они оба являются членами группы GlobalGroup.

Вот здесь нашла пример как реализовать проверку пользователя в кроссдоменной среде, используя рекурсивный поиск по всем вложенным группам. На вход подаю данные о пользователе и найденную ранее папку GlobalGroup. Для user1 поиск отрабатывает безошибочно, даже учитывая, что он находится в подгруппе. Для user2 поиск возвращает false.

Если реализовывать поиск через GroupPrincipal.GetMembers(true) и искать среди результата user2, то пользователь найдется, но такой запрос может отрабатывать минуты, учитывая очень сложную вложенность папок и большое количество пользователей, что совершенно не подходит.
Какого фильтра не хватает LDAP-запросу?

Пример функции поиска ниже:

private static bool IsUserInGroup(UserPrincipal user, DirectoryEntry group, bool recursive)
        {
            group.RefreshCache(new[] {"distinguishedName", "groupType"});
            var recursiveFilter = recursive ? ":1.2.840.113556.1.4.1941:" : "";
            var filter = string.Format("(member{0}={1})", recursiveFilter, user.DistinguishedName);
            var groupDN = (string)group.Properties["distinguishedName"].Value;

            if (((int)group.Properties["groupType"].Value & 8) == 0)
            {
                var groupDomainDN = groupDN.Substring(groupDN.IndexOf(",DC=", StringComparison.Ordinal));
                filter = string.Format("(|{0}(member{1}=CN={2}, CN=ForeignSecurityPrincipals{3}))", filter, recursiveFilter, user.Sid, groupDomainDN);
            }

            var searcher = new DirectorySearcher
            {
                Filter = filter,
                SearchRoot = group,
                PageSize = 1,
                SearchScope = SearchScope.Base
            };

            searcher.PropertiesToLoad.Add("cn");
            return searcher.FindOne() != null;
        }

1 ответ 1

0

Автор статьи в посте доработал свой функционал после моего вопроса. Прочесть его объяснения доработки можно в ответе.
Готовый пример полного поиска:

private static bool IsUserInGroup(DirectoryEntry user, DirectoryEntry group, bool recursive) {

    //fetch the attributes we're going to need
    user.RefreshCache(new [] {"distinguishedName", "objectSid"});
    group.RefreshCache(new [] {"distinguishedName", "groupType"});

    //This magic number tells AD to look for the user recursively through any nested groups
    var recursiveFilter = recursive ? ":1.2.840.113556.1.4.1941:" : "";

    var userDn = (string) user.Properties["distinguishedName"].Value;
    var groupDn = (string) group.Properties["distinguishedName"].Value;

    var filter = $"(member{recursiveFilter}={userDn})";

    if (((int) group.Properties["groupType"].Value & 8) == 0) {
        var groupDomainDn = groupDn.Substring(
            groupDn.IndexOf(",DC=", StringComparison.Ordinal));
        var userDomainDn = userDn.Substring(
            userDn.IndexOf(",DC=", StringComparison.Ordinal));
        if (groupDomainDn != userDomainDn) {
            //It's a Domain Local group, and the user and group are on
            //different domains, so the account might show up as a Foreign
            //Security Principal. So construct a list of SID's that could
            //appear in the group for this user
            var fspFilters = new StringBuilder();

            var userSid = new SecurityIdentifier((byte[]) user.Properties["objectSid"].Value, 0);
            fspFilters.Append(
                $"(member{recursiveFilter}=CN={userSid},CN=ForeignSecurityPrincipals{groupDomainDn})");

            //Any of the groups the user is in could show up as an FSP,
            //so we need to check for them all
            user.RefreshCache(new [] {"tokenGroups"});
            var tokenGroups = user.Properties["tokenGroups"];
            foreach (byte[] token in tokenGroups) {
                var groupSid = new SecurityIdentifier(token, 0);
                fspFilters.Append(
                    $"(member{recursiveFilter}=CN={groupSid},CN=ForeignSecurityPrincipals{groupDomainDn})");
            }
            filter = $"(|{filter}{fspFilters})";
        }
    }

    var searcher = new DirectorySearcher {
        Filter = filter,
        SearchRoot = group,
        PageSize = 1, //we're only looking for one object
        SearchScope = SearchScope.Base
    };

    searcher.PropertiesToLoad.Add("cn"); //just so it doesn't load every property

    return searcher.FindOne() != null;
}
3
  • Чтобы дополнить свой вопрос, просим вас воспользоваться опцией редактирования. Кнопку «Опубликовать ответ» следует использовать только для исчерпывающих ответов на вопросы. — из очереди проверок
    – Dmitriy
    23 янв 2019 в 11:15
  • @Dmitriy исправила ответ. Оставить так, или нужно переопубликовывать? Текущий помечен к удалению.
    – Skarhl
    23 янв 2019 в 11:44
  • Да нет, вроде бы так должно быть достаточно. Я, если честно, и сам не всю механику сайта знаю до конца. Кажется, потом посмотрит модератор, увидит, что все хорошо, и не будет удалять.
    – Dmitriy
    23 янв 2019 в 11:58

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.