Active Directory WCF服務

Question

我想知道我可以通過AD管理用戶身份驗證和授權的解決方案/選項有哪些？ 我處於一種情況，我們想使用AD帳戶/組/等等來管理內部和外部用戶。 我發現這篇文章（ http://blog.waleedmohamed.net/2009/12/create-active-directory-service-using.html ）顯示了一個簡單的WCF服務，公開了一些AD操作。

我的想法是創建一個AD WCF服務，多個應用程序可以使用該服務來進行帳戶CRUD操作和其他所需功能，例如登錄和密碼檢索。 擁有如此強大的服務是一個好主意嗎？ 我們正在考慮讓該服務使用僅對某些OU擁有權限的帳戶來限制其功能。

謝謝！

Answer 1

許多CRUD操作只能由Domain Admins完成。 作為一種方法，這將需要WCF服務作為域管理員運行，在這種情況下，如果有人可以入侵並運行代碼，則可能非常危險。

Windows身份驗證無法工作（在IIS中），無法將身份驗證令牌傳遞給DC，因為很有可能IIS不在DC上運行。

另一方面，用戶可以在安全會話中（可能通過SSL）傳遞用戶名/密碼，它將用於連接到域控制器。 只要你能保證它，它就可以了。

Answer 2

我問了一個類似的問題，也只能找到您找到的資源。 我喜歡這個主意，因為我已經有多個內部應用程序已經使用我創建的AD Helper庫與AD交互。 我想從AD Helper庫創建一個WCF服務，以便在需要添加或修復功能而不是重新訪問使用AD Helper庫的每個應用程序時維護單個應用程序。

我擔心的是重新發明輪子。 我不想實現MS可能已經實現的某些功能。 有人建議我查看Active Directory Web服務，看看是否已經完成了我已在AD Helper庫中實現的內容。 據我所知，這只是我使用System.DirectoryServices命名空間進行AD交互的另一種方式。

我認為如果實施得當，這將是任何開發環境的一個很好的補充，可以更加統一地將其內部應用程序與Active Directory集成，並集中維護此實現。

Answer 3

我會非常注意為WCF服務實現安全性，例如在端口443（SSL）上使用它。 某些IP范圍（IIS）對服務器的訪問限制也會浮現在腦海中。