Valider un nom d'utilisateur et un mot de passe par rapport à Active Directory ?

Question

Comment puis-je valider un nom d'utilisateur et un mot de passe par rapport à Active Directory ? Je veux simplement vérifier si un nom d'utilisateur et un mot de passe sont corrects.

Answer 1

Si vous travaillez avec .NET 3.5 ou une version plus récente, vous pouvez utiliser la fonction System.DirectoryServices.AccountManagement et vérifier facilement vos informations d'identification :

// create a "principal context" - e.g. your domain (could be machine, too)
using(PrincipalContext pc = new PrincipalContext(ContextType.Domain, "YOURDOMAIN"))
{
    // validate the credentials
    bool isValid = pc.ValidateCredentials("myuser", "mypassword");
}

C'est simple, c'est fiable, c'est du code géré à 100 % en C# de votre côté - que demander de plus ? :-)

Lisez tout à ce sujet ici :

• Gestion des principes de sécurité de l'annuaire dans le .NET Framework 3.5
• Documents MSDN sur System.DirectoryServices.AccountManagement (en anglais)

Answer 2

Nous le faisons sur notre Intranet

Vous devez utiliser System.DirectoryServices ;

Voici l'essentiel du code

DirectoryEntry adsEntry = new DirectoryEntry(path, strAccountId, strPassword);
DirectorySearcher adsSearcher = new DirectorySearcher(adsEntry);
//adsSearcher.Filter = "(&(objectClass=user)(objectCategory=person))";
adsSearcher.Filter = "(sAMAccountName=" + strAccountId + ")";

try 
{
    SearchResult adsSearchResult = adsSearcher.FindOne();
    bSucceeded = true;

    strAuthenticatedBy = "Active Directory";
    strError = "User has been authenticated by Active Directory.";
    adsEntry.Close();
}
catch (Exception ex)
{
    // Failed to authenticate. Most likely it is caused by unknown user
    // id or bad strPassword.
    strError = ex.Message;
    adsEntry.Close();
}

Answer 3

solution très simple utilisant les DirectoryServices :

using System.DirectoryServices;

//srvr = ldap server, e.g. LDAP://domain.com
//usr = user name
//pwd = user password
public bool IsAuthenticated(string srvr, string usr, string pwd)
{
    bool authenticated = false;

    try
    {
        DirectoryEntry entry = new DirectoryEntry(srvr, usr, pwd);
        object nativeObject = entry.NativeObject;
        authenticated = true;
    }
    catch (DirectoryServicesCOMException cex)
    {
        //not authenticated; reason why is in cex
    }
    catch (Exception ex)
    {
        //not authenticated due to some other exception [this is optional]
    }

    return authenticated;
}

l'accès à NativeObject est nécessaire pour détecter un mauvais utilisateur/mot de passe.

Answer 4

Malheureusement, il n'existe pas de moyen "simple" de vérifier les informations d'identification d'un utilisateur dans AD.

Avec toutes les méthodes présentées jusqu'ici, vous pouvez obtenir un faux négatif : Les références d'un utilisateur seront valides, mais AD renverra un faux négatif dans certaines circonstances :

• L'utilisateur doit changer son mot de passe à la prochaine connexion.
• Le mot de passe de l'utilisateur a expiré.

ActiveDirectory ne vous permettra pas d'utiliser LDAP pour déterminer si un mot de passe est invalide du fait qu'un utilisateur doit changer de mot de passe ou que son mot de passe a expiré.

Pour déterminer si le mot de passe a été modifié ou s'il a expiré, vous pouvez appeler Win32:LogonUser(), et vérifier le code d'erreur Windows pour les 2 constantes suivantes :

• ERROR_PASSWORD_MUST_CHANGE = 1907
• ERROR_PASSWORD_EXPIRED = 1330

Answer 5

La méthode la plus simple consiste probablement à invoquer l'API Win32 de LogonUser, par exemple.

http://www.pinvoke.net/default.aspx/advapi32/LogonUser.html

Référence MSDN ici...

http://msdn.microsoft.com/en-us/library/aa378184.aspx

Il faut absolument utiliser le type de connexion

LOGON32_LOGON_NETWORK (3)

Cela crée un jeton léger uniquement - parfait pour les contrôles AuthN. (d'autres types peuvent être utilisés pour construire des sessions interactives, etc.)