服务器仍在旧域时，如何配置默认Active Directory域以获取新域用户信息？

算力阿峰

2026-6-24

解决方案

IIS层面配置（无需修改源码）

切换应用程序池身份：把Web应用对应的应用程序池身份改成新域下拥有AD查询权限的域账户。这样PrincipalContext会默认使用应用池身份所属的新域进行连接，完全不用改代码。
操作步骤：打开IIS管理器 → 找到目标应用程序池 → 右键选「高级设置」→ 进程模型里的「标识」→ 选择「自定义账户」→ 输入新域\用户名格式的账户及对应密码。
设置系统环境变量：在服务器上添加系统级环境变量USERDOMAIN，值设为新域名称。部分.NET应用会读取这个变量作为默认域上下文的依据，无需改动代码。

代码层面无硬编码修改（避免明文凭证）

如果IIS配置达不到预期，可修改代码但不硬编码凭证，通过配置文件读取参数：

在web.config里添加配置项：

<appSettings>
  <add key="ADDomain" value="新域名称"/>
  <add key="ADDomainController" value="新域控制器地址"/>
</appSettings>

修改FindUserDetails方法，读取配置后用应用程序池身份连接新域：

public UserPrincipal FindUserDetails(string userID)
{
    var domain = ConfigurationManager.AppSettings["ADDomain"];
    var dc = ConfigurationManager.AppSettings["ADDomainController"];
    
    // 依赖应用池身份权限，无需硬编码用户名密码
    PrincipalContext ctx = new PrincipalContext(ContextType.Domain, dc, domain);

    UserPrincipal user = UserPrincipal.FindByIdentity(ctx, IdentityType.SamAccountName, userID);

    return user ?? null;
}