Есть два домена: domain1 и domain2.
В domain1 заведена некая группа GlobalGroup, куда добавлена еще одна группа Domain1Group.
В domain2 заведены два пользователя user1 и user2 и была создана группа Domain2Group.
Между доменами настроена двустороннее доверие. Группа Domain2Group была добавлена в группу GlobalGroup на первом домене.
Пользователь user1 включен в группу Domain1Group, пользователь user2 включен в группу Domain2Group.
Необходимо проверить, что они оба являются членами группы GlobalGroup.
Вот здесь нашла пример как реализовать проверку пользователя в кроссдоменной среде, используя рекурсивный поиск по всем вложенным группам. На вход подаю данные о пользователе и найденную ранее папку GlobalGroup. Для user1 поиск отрабатывает безошибочно, даже учитывая, что он находится в подгруппе. Для user2 поиск возвращает false.
Если реализовывать поиск через GroupPrincipal.GetMembers(true) и искать среди результата user2, то пользователь найдется, но такой запрос может отрабатывать минуты, учитывая очень сложную вложенность папок и большое количество пользователей, что совершенно не подходит.
Какого фильтра не хватает LDAP-запросу?
Пример функции поиска ниже:
private static bool IsUserInGroup(UserPrincipal user, DirectoryEntry group, bool recursive)
{
group.RefreshCache(new[] {"distinguishedName", "groupType"});
var recursiveFilter = recursive ? ":1.2.840.113556.1.4.1941:" : "";
var filter = string.Format("(member{0}={1})", recursiveFilter, user.DistinguishedName);
var groupDN = (string)group.Properties["distinguishedName"].Value;
if (((int)group.Properties["groupType"].Value & 8) == 0)
{
var groupDomainDN = groupDN.Substring(groupDN.IndexOf(",DC=", StringComparison.Ordinal));
filter = string.Format("(|{0}(member{1}=CN={2}, CN=ForeignSecurityPrincipals{3}))", filter, recursiveFilter, user.Sid, groupDomainDN);
}
var searcher = new DirectorySearcher
{
Filter = filter,
SearchRoot = group,
PageSize = 1,
SearchScope = SearchScope.Base
};
searcher.PropertiesToLoad.Add("cn");
return searcher.FindOne() != null;
}