Active Directory Group üyelerini alın ve etkinleştirilmiş veya devre dışı bırakılmış olup olmadıklarını kontrol edin

Question

Belirli bir AD grubundaki tüm üyelerin/kullanıcıların bir listesini almanın ve bir kullanıcının etkin (veya devre dışı) olup olmadığını belirlemenin en hızlı yolu nedir?

Potansiyel olarak 20K kullanıcılarından bahsediyoruz, bu yüzden her bir kullanıcı için AD'ye çarpmamaktan kaçınmak istiyorum.

Answer 1

.NET 3.5 ve üstü sürümleri kullanıyorsanız, System.DirectoryServices.AccountManagement (S.DS.AM) ad alanını gözden geçirmelisiniz. Hepsi burada! okuyunuz:

// set up domain context 
PrincipalContext ctx = new PrincipalContext(ContextType.Domain); 

// find the group in question 
GroupPrincipal group = GroupPrincipal.FindByIdentity(ctx, "YourGroupNameHere"); 

// if found.... 
if (group != null) 
{ 
    // iterate over members 
    foreach (Principal p in group.GetMembers()) 
    { 
     Console.WriteLine("{0}: {1}", p.StructuralObjectClass, p.DisplayName); 

     // do whatever you need to do to those members 
     UserPrincipal theUser = p as UserPrincipal; 

     if(theUser != null) 
     { 
      if(theUser.IsAccountLockedOut()) 
      { 
       ... 
      } 
      else 
      { 
       ... 
      } 
     } 
    } 
} 

: MSDN docs on System.DirectoryServices.AccountManagement

Temelde

• Managing Directory Security Principals in the .NET Framework 3.5
• , sen AD kullanıcıları ve/veya grupları bulmak kolay etki alanı bağlamını tanımlayabilir ve Yeni S.DS.AM, AD'deki kullanıcılarla ve gruplarla oynamayı gerçekten çok kolaylaştırıyor!

Answer 2

Lütfen aşağıdaki kodu deneyebilirsiniz. Bir LDAP sorgusunda ve yinelemeli olarak istediğiniz şeyi almak için Search Filter Syntax kullanın. İlgi, sorgunun sunucuda yapılmasıdır. Bunun, @marc_s çözümünden daha hızlı olduğundan emin değilim, ancak var olan ve .NET 2.0 (W2K3 SP2 başlangıcı) çerçevesi üzerinde çalışıyor.

string sFromWhere = "LDAP://WM2008R2ENT:389/dc=dom,dc=fr"; 
DirectoryEntry deBase = new DirectoryEntry(sFromWhere, "dom\\jpb", "test.2011"); 

/* To find all the users member of groups "Grp1" : 
* Set the base to the groups container DN; for example root DN (dc=societe,dc=fr) 
* Set the scope to subtree 
* Use the following filter : 
* (member:1.2.840.113556.1.4.1941:=CN=Grp1,OU=MonOu,DC=X) 
* coupled with LDAP_MATCHING_RULE_BIT_AND on userAccountControl with ACCOUNTDISABLE 
*/ 
DirectorySearcher dsLookFor = new DirectorySearcher(deBase); 
dsLookFor.Filter = "(&(memberof:1.2.840.113556.1.4.1941:=CN=MonGrpSec,OU=MonOu,DC=dom,DC=fr)(userAccountControl:1.2.840.113556.1.4.803:=2))"; 
dsLookFor.SearchScope = SearchScope.Subtree; 
dsLookFor.PropertiesToLoad.Add("cn"); 

SearchResultCollection srcUsers = dsLookFor.FindAll(); 

/* Just to know if user is present in an other group 
*/ 
foreach (SearchResult srcUser in srcUsers) 
{ 
    Console.WriteLine("{0}", srcUser.Path); 
}