Question

当我检索本地WinNT组的成员时，某种程度上不会返回所有成员。我添加：

Active Directory用户
Active Directory组

两者都成功（见图片），但仅用户随后出现。

enter image description here

问题是：

添加的群组会怎样？
请参阅代码示例'GetMembers（）'
这是一个已知问题吗？
有哪些可用的解决方法？

非常感谢!!

string _domainName = @"MYDOMAIN";
string _basePath = @"WinNT://MYDOMAIN/myserver";
string _userName = @"MYDOMAIN\SvcAccount";
string _password = @"********";

void Main()
{
   CreateGroup("lg_TestGroup");
   AddMember("lg_TestGroup", @"m.y.username");
   AddMember("lg_TestGroup", @"Test_DomainGroup");

   GetMembers("lg_TestGroup");
}

// Method added for reference.
void CreateGroup(string accountName)
{
   using (DirectoryEntry rootEntry = new DirectoryEntry(_basePath, _userName, _password))
   {
      DirectoryEntry newEntry = rootEntry.Children.Add(accountName, "group");
        newEntry.CommitChanges();
   }
}

// Add Active Directory member to the local group.
void AddMember(string groupAccountName, string userName)
{
    string path = string.Format(@"{0}/{1}", _basePath, groupAccountName);
    using (DirectoryEntry entry = new DirectoryEntry(path, _userName, _password))
    {
        userName = string.Format("WinNT://{0}/{1}", _domainName, userName);
      entry.Invoke("Add", new object[] { userName });
        entry.CommitChanges();
    }
}

// Get all members of the local group.
void GetMembers(string groupAccountName)
{
    string path = string.Format(@"{0}/{1}", _basePath, groupAccountName);
   using (DirectoryEntry entry = new DirectoryEntry(path, _userName, _password))
   {
      foreach (object member in (IEnumerable) entry.Invoke("Members"))
      {
         using (DirectoryEntry memberEntry = new DirectoryEntry(member))
         {
            string accountName = memberEntry.Path.Replace(string.Format("WinNT://{0}/", _domainName), string.Format(@"{0}\", _domainName));
            Console.WriteLine("- " + accountName); // No groups displayed...
         }
      }
   }
}

更新＃1 小组成员的顺序似乎是必不可少的。只要 GetMembers（）中的枚举器偶然发现Active Directory组，其余项目也不会显示。因此，如果在此示例中首先列出“Test_DomainGroup”，则 GetMembers（）根本不会显示任何内容。

Answer 1

我知道这是一个老问题，你很可能找到了你需要的答案，但万一其他人偶然发现了这个......

您在DirectoryEntry中使用的WinNT ADSI提供程序[即。 WinNT：// MYDOMAIN / myserver]在使用未停留在旧的Windows 2000 / NT功能级别（https://support.microsoft.com/en-us/kb/322692）的Windows域时功能非常有限。

在这种情况下，问题是WinNT提供程序不知道如何处理全局或通用安全组（在Windows NT中不存在，并且只要将域级别提升到Windows 2000混合模式之上就会激活它们）。因此，如果这些类型的任何组嵌套在本地组下，您通常会遇到类似于您所描述的问题。

我找到的唯一解决方案/解决方法是确定您要枚举的组是否来自域，如果是，则切换到LDAP提供程序，该提供程序将在调用“成员”时正确显示所有成员。

不幸的是，我不知道从使用WinNT提供程序切换到使用已绑定到WinNT提供程序的DirectoryEntry的LDAP提供程序的“简单”方法。因此，在我参与的项目中，我通常更喜欢获取当前WinNT对象的SID，然后使用LDAP搜索具有相同SID的域对象。

对于Windows 2003+域，您可以将SID字节数组转换为通常的SDDL格式（S-1-5-21 ...），然后使用以下内容绑定到具有匹配SID的对象：

Byte[] SIDBytes = (Byte[])memberEntry.Properties["objectSID"].Value;
System.Security.Principal.SecurityIdentifier SID = new System.Security.Principal.SecurityIdentifier(SIDBytes, 0);

memberEntry.Dispose();
memberEntry = new DirectoryEntry("LDAP://" + _domainName + "/<SID=" + SID.ToString() + ">");

对于Windows 2000域，您无法通过SID直接绑定到对象。因此，您必须将SID字节数组转换为带有“\”前缀（\ 01 \ 06 \ 05 \ 16 \ EF \ A2 ..）的十六进制值数组，然后使用DirectorySearcher查找具有匹配SID。执行此操作的方法类似于：

public DirectoryEntry FindMatchingSID(Byte[] SIDBytes, String Win2KDNSDomainName)
{
    using (DirectorySearcher Searcher = new DirectorySearcher("LDAP://" + Win2KDNSDomainName))
    {
        System.Text.StringBuilder SIDByteString = new System.Text.StringBuilder(SIDBytes.Length * 3);

        for (Int32 sidByteIndex = 0; sidByteIndex < SIDBytes.Length; sidByteIndex++)
            SIDByteString.AppendFormat("\\{0:x2}", SIDBytes[sidByteIndex]);

        Searcher.Filter = "(objectSid=" + SIDByteString.ToString() + ")";
        SearchResult result = Searcher.FindOne();

        if (result == null)
            throw new Exception("Unable to find an object using \"" + Searcher.Filter + "\".");
        else
            return result.GetDirectoryEntry();
    }
}

如何获得本地WinNT组的所有成员？

1 个答案: