计算Active Directory安全组成员

Question

首先，我必须枚举当前用户的所有AD组。 获取SID和名称很容易：

foreach(var group in WindowsIdentity.GetCurrent().Groups)
{
   var sid = new SecurityIdentifier(group.Value);
   string name = (group.Translate(typeof(NTAccount)) as NTAccount).Value;
}

然后，我需要确定每个组中的成员数量，而我无法正常工作。 我想我需要一种方法来获取当前用户组的专有名称。 知道如何获得它吗？

到目前为止，我所做的是：我尝试过这样的WMI查询，但是由于我需要完全限定的域名，但它没有返回任何结果，但是NTAccount仅给我提供了“友好的”域帐户（DOMAIN \\ group）：

SELECT PartComponent FROM Win32_GroupUser 
WHERE (GroupComponent = "Win32_Group.Domain='somedomain', Name='somegroup'")

然后，我尝试了LDAP ，通过绑定到组的SID来解决缺少的路径/专有名称：

var adGroupEntry = new DirectoryEntry(String.Format("LDAP://<SID={0}>", group.Value));
if (adGroupEntry != null)
{
  IEnumerable members = adGroupEntry.Invoke("Members", null) as IEnumerable;
  if (members != null)
  {
    foreach (object member in members)
    {
      noOfMembers++;
    }
  }
}

它找到组，name属性返回正确的值，但是Members从不包含任何元素。 如果我知道一个组的完整LDAP路径（例如当我对其进行硬编码时），那么上面的代码实际上将在该组中产生正确的用户数。

我在这里想念什么？ 我对Active Directory或WMI不太熟悉。

限制：

• 我无法对任何域名或LDAP路径进行硬编码。
• 我仅限于.NET 2.0，因此无法使用System.DirectoryServices.AccountManagement 。

Answer 1

我可以在我的环境中为您解决问题。 对我来说，这听起来像是ADSI中的错误。

如果同时使用无服务器绑定和SID绑定 ，则返回的COM对象不起作用。

我可以通过不使用无服务器的bindnig来解决。 即使用此LDAP://*yourdomain.com*/<SID={0}>代替

我也可以通过再次绑定对象来解决该问题。

var adGroupEntry = new DirectoryEntry(String.Format("LDAP://<SID={0}>",group.Value));
string dn = adGroupEntry.Properties["distinguishedName"].Value as string;
DirectoryEntry de = new DirectoryEntry("LDAP://" + dn);
if (de != null)
{
    IEnumerable members = de.Invoke("Members", null) as IEnumerable;
    if (members != null)
    {
        foreach (object member in members) 
        {
            noOfMembers++;     
        }   
    } 
}