域A中的用户可以成为域B中组的成员吗？

Question

通过C＃中的Directory Searcher，我们希望从Windows中的Active Directory获取有关用户的信息。我们想知道特定用户的所有群组：

var lDomain = "DomainA";
var lSamAccountName = "MyUserName";

var lDirectoryEntry = new DirectoryEntry("LDAP://" + lDomain);

using (DirectorySearcher lDirectorySearcher = new DirectorySearcher(String.Format("(&(objectClass=user)(sAMAccountName={0}))", lSamAccountName)))
{
    lDirectorySearcher.SearchRoot = lDirectoryEntry;
    lDirectorySearcher.SearchScope = SearchScope.Subtree;
    lDirectorySearcher.PropertiesToLoad.Add("memberOf");

    [...]
}

问题1：域A中的用户是否可以是域B中定义的组的成员？

问题2： Fores A中的用户是否可能是林B中定义的组的成员？

Answer 1

是的，用户可以是来自不同域中的组的成员。这是由小组的范围定义的。

1. 通用

来自同一个林（域名集合）中任何域的用户都可以在此群组中。

1. 全局

仅允许来自同一域的用户

1. Domain local

仅允许来自任何域或任何受信任域的用户（这包括其他森林）。

如需进一步阅读，请转到here。