仅在服务器上查询Active Directory时出错

Question

我有以下代码块，使用System.DirectoryServices.AccountManagement通过组名向Active Directory查询用户：

var domainContext = new PrincipalContext(ContextType.Domain, "company.container.internal");
var groupPrincipal = GroupPrincipal.FindByIdentity(domainContext, IdentityType.Name, "Lvl1Users");
if (groupPrincipal != null)
{
  //Read the values
}

现在，该网站使用以下内容：

• Win2k8上的IIS7
• Windows验证
• 假冒=真
• 使用“网络服务”作为帐户的.NET 4.0上的应用程序池

在我的本地计算机上（您知道如何运行），一切都很好。 在本地尝试的同行们也很好用。 但是，一旦部署到服务器，它将显示以下内容：

发生操作错误。

我研究的所有内容都说这是权限问题。 需要注意的一件事是，在本地计算机上，我位于MainNetwork域上，该域是我正在查询的company.container.internal域的父级。 IIS计算机位于company.container.internal并且正在查询同一域。 坦白说，我认为更具挑战性的情况是在本地计算机上读取AD，该本地计算机位于其他域中，但是可以正常工作。 在查询相同域的服务器上，它失败。

这是我尝试过的， 但没有一个起作用：

• 将AppPool更改为“ LocalSystem”
• 更改AppPool以使用静态超级管理员帐户
• 在代码中使用模拟来与MainNetwork域上的admin用户一起操纵本地块中的调用上下文。
• 在代码中使用了模拟，以与company.container.internal域上的管理员用户一起在本地块中操纵调用的上下文。
• using (HostingEnvironment.Impersonate())

这里有什么？ 我尝试在两个域上模拟每种类型的电源管理员，并使用了多个AppPool设置，但我始终遇到相同的错误。 域声明中是否需要更改代码中的任何内容，或者我缺少权限问题？

Answer 1

我发现了这一点，结果发现使用HostingEnvironment.Impersonate()仍然是解决问题的根源。 我已经尝试过了，但是我的代码还有另一个问题。

问题常常是，进行Active Directory调用的上下文是在没有权限的用户下进行的（由于用户令牌是一个事实，因此在ASP.NET中，如果identity impersonate="true"也会发生这种情况）通过以下网址对另一台服务器进行身份验证时无法使用的“辅助令牌”： http : //bit.ly/1753RjA ）。

下面的代码将确保运行该代码块是在运行ASP.NET站点的AppPool （即NETWORKSERVICE ）的上下文中运行的。

using (HostingEnvironment.Impersonate())
{
   var domainContext = new PrincipalContext(ContextType.Domain, "myDomain.com");
   var groupPrincipal = GroupPrincipal.FindByIdentity(domainContext, IdentityType.Name, "PowerUsers");
   if (groupPrincipal != null)
   {
      //code to get the infomation
   }

}

但是，一个非常重要的细节是， 所有调用Active Directory的代码都必须在该块中。 我曾经使用过我的一个团队成员编写的一些代码，该代码返回类型为Users （自定义类）的LINQ查询结果，但未评估表达式（错误的做法）。 因此，返回了表达式树而不是结果。

最终发生的是调用代码最终评估了结果，并且仍然出现“ An operations error occurred消息。 我虽然上面的代码修复不起作用。 实际上确实可以，但是有代码在块外评估结果。

简而言之，请确保所有用于访问Active Directory的代码都在using块的内部，并且应该修复将服务/应用程序部署到服务器的异常。