Как получить подробную информацию об объекте ForeignSecurityPrincipal в .net - PullRequest
Новая
       87

Как получить подробную информацию об объекте ForeignSecurityPrincipal в .net

0 голосов
/ 23 января 2019

У меня есть 2 домена A и B. У меня есть группа в B «GroupInB», в которой есть пользователь «UserInB» (В будущем в этой группе может быть много пользователей). В домене A я создал группу «GroupInA», а затем добавил «GroupInB» в «GroupInA». (Это вызывает ForeignSecurityPrincipal для GroupB). А также я добавил пользователя "UserInA" в "GroupA".

Теперь проблема в том, что я хочу прочитать всех пользователей в «Группе А». Я ожидаю, что результат будет

  1. UserInA
  2. UserInB

Но при попытке прочитать пользователей из DirectoryEntry все, что я получаю, это

  1. UserInA
  2. GroupInB

Есть ли способ получить пользователей из "GroupInB"? :(

1 Ответ

0 голосов
/ 24 января 2019

Я недавно написал статью о том, как собрать всех членов группы: Найти всех членов группы

Я включил часть о поиске пользователей извнешние доверенные домены , которые отображаются в качестве Foreign Security Principals, однако, похоже, я забыл об этом конкретном случае использования: членом группы из чужого домена является.Поэтому я обновил код в своей статье и включил его ниже.

Это немного сложно, поскольку у субъекта внешней безопасности есть SID объекта во внешнем домене, но для привязки к объекту используетсяSID, вы должны использовать DNS-имя домена.Поэтому сначала нужно создать сопоставление доменных SID и DNS-имен для всех доверенных доменов.Однако, если вы выполняете это только в одной среде, вы всегда можете жестко закодировать список доменов, чтобы ускорить это.

Это код.Если вы передадите true для параметра recursive, он развернет все группы участников. 

public static IEnumerable<string> GetGroupMemberList(DirectoryEntry group, bool recursive = false, Dictionary<string, string> domainSidMapping = null) {
    var members = new List<string>();

    group.RefreshCache(new[] { "member", "canonicalName" });

    if (domainSidMapping == null) {
        //Find all the trusted domains and create a dictionary that maps the domain's SID to its DNS name
        var groupCn = (string) group.Properties["canonicalName"].Value;
        var domainDns = groupCn.Substring(0, groupCn.IndexOf("/", StringComparison.Ordinal));

        var domain = Domain.GetDomain(new DirectoryContext(DirectoryContextType.Domain, domainDns));
        var trusts = domain.GetAllTrustRelationships();

        domainSidMapping = new Dictionary<string, string>();

        foreach (TrustRelationshipInformation trust in trusts) {
            using (var trustedDomain = new DirectoryEntry($"LDAP://{trust.TargetName}")) {
                try {
                    trustedDomain.RefreshCache(new [] {"objectSid"});
                    var domainSid = new SecurityIdentifier((byte[]) trustedDomain.Properties["objectSid"].Value, 0).ToString();
                    domainSidMapping.Add(domainSid, trust.TargetName);
                } catch (Exception e) {
                    //This can happen if you're running this with credentials
                    //that aren't trusted on the other domain or if the domain
                    //can't be contacted
                    throw new Exception($"Can't connect to domain {trust.TargetName}: {e.Message}", e);
                }
            }
        }
    }

    while (true) {
        var memberDns = group.Properties["member"];
        foreach (string member in memberDns) {
            using (var memberDe = new DirectoryEntry($"LDAP://{member.Replace("/", "\\/")}")) {
                memberDe.RefreshCache(new[] { "objectClass", "msDS-PrincipalName", "cn" });

                if (recursive && memberDe.Properties["objectClass"].Contains("group")) {
                    members.AddRange(GetGroupMemberList(memberDe, true, domainSidMapping));
                } else if (memberDe.Properties["objectClass"].Contains("foreignSecurityPrincipal")) {
                    //User is on a trusted domain
                    var foreignUserSid = memberDe.Properties["cn"].Value.ToString();
                    //The SID of the domain is the SID of the user minus the last block of numbers
                    var foreignDomainSid = foreignUserSid.Substring(0, foreignUserSid.LastIndexOf("-"));
                    if (domainSidMapping.TryGetValue(foreignDomainSid, out var foreignDomainDns)) {
                        using (var foreignMember = new DirectoryEntry($"LDAP://{foreignDomainDns}/<SID={foreignUserSid}>")) {
                            foreignMember.RefreshCache(new[] { "msDS-PrincipalName", "objectClass" });
                            if (recursive && foreignMember.Properties["objectClass"].Contains("group")) {
                                members.AddRange(GetGroupMemberList(foreignMember, true, domainSidMapping));
                            } else {
                                members.Add(foreignMember.Properties["msDS-PrincipalName"].Value.ToString());
                            }
                        }
                    } else {
                        //unknown domain
                        members.Add(foreignUserSid);
                    }
                } else {
                    var username = memberDe.Properties["msDS-PrincipalName"].Value.ToString();
                    if (!string.IsNullOrEmpty(username)) {
                        members.Add(username);
                    }
                }
            }
        }

        if (memberDns.Count == 0) break;

        try {
            group.RefreshCache(new[] {$"member;range={members.Count}-*"});
        } catch (COMException e) {
            if (e.ErrorCode == unchecked((int) 0x80072020)) { //no more results
                break;
            }
            throw;
        }
    }
    return members;
}
...