Как аутентифицировать LDAP в .NET

Все это можно сделать с помощью System.DirectoryServices.Protocols. Если вы создаете LdapConnection для каталога, вы можете использовать учетную запись службы для привязки, а затем выполнить последующую привязку для проверки подлинности учетных данных.

Учетная запись службы обычно используется для ограничения доступа к механизму аутентификации сервера. Таким образом, ни один случайный человек на улице не сможет попытаться авторизоваться на вашем сервере LDAP.

Кроме того, ожидаете ли вы, что каждый пользователь будет указывать свое отличительное имя при входе в систему? В Active Directory требуется только sAMAccountName, но другие поставщики, такие как eDirectory и SunONE, требуют отличительное имя для аутентификации.

Чтобы выполнить этот тип аутентификации, вам нужно будет использовать учетную запись службы, которая предоставляется для аутентификации на сервере, выполнить поиск пользователя с данным именем пользователя и получить это отличительное имя пользователя. Затем вы можете пройти аутентификацию, используя это отличительное имя и предоставленный пароль.

Это будет работать для всех систем LDAP, за исключением Active Directory, которая будет довольна только sAMAccountName.

Я не уверен, что полностью понимаю вопрос, но в некоторых ситуациях мне было легко аутентифицировать пользователя, просто выполнив поиск его учетной записи и используя его учетные данные в качестве имени пользователя и пароля.

Успешный запрос означает, что все предоставлено правильно, отсутствие учетной записи означает, что что-то не так.

//use the users credentials for the query
DirectoryEntry root = new DirectoryEntry(
    "LDAP://dc=domain,dc=com", 
    loginUser, 
    loginPassword
    );

//query for the username provided
DirectorySearcher searcher = new DirectorySearcher(
    root, 
    "(sAMAccountName=" + loginUser + ")"
    );    

//a success means the password was right
bool success = false; 
try {
    searcher.FindOne();
    success = true;
}
catch {
    success = false;
}

Вероятно, это не лучшая практика, но вы можете обойти вашу проблему ...

У нас был веб-сайт, на котором необходимо было аутентифицировать имя пользователя и пароль по учетным данным домена, и мы использовали функцию API LogonUser. Используйте его для входа в сеть (один из его аргументов - тип входа в систему), и все, что он делает, это проверяет учетные данные, он не делает таких вещей, как загрузка профиля пользователя, как это сделал бы runas. Единственное предостережение - учетная запись службы требует достаточного доступа для вызова LogonUser. Я предлагаю вам проверить документацию MSDN, что это за доступ, потому что он зависит от ОС.