使用GMS账户的.NET 6 WebAPI Windows服务调用LDAP失败求助

我已将.NET 6 WebAPI部署为Windows服务，并为该服务配置了GMS账户（操作路径：Windows→服务→右键服务→属性→登录选项卡）。使用Novell.Directory.Ldap.NETStandard调用LDAP时，尝试以下代码：

_ldapConnection.Connect(_ldapSettings.Address, LdapConnection.DefaultSslPort);
_ldapConnection.Bind(null, null);

出现如下异常：

LdapException: Operations Error (1) Operations Error
LdapException: Server Message: 000004DC: LdapErr: DSID-0C090CE5, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v4563
LdapException: Matched DN:

由于无法获取该GMS账户的密码，无法在Bind方法中传入密码，请问如何在该账户上下文下调用LDAP？

你遇到的问题是因为Bind(null, null)尝试的是匿名LDAP绑定，而你的LDAP服务器（大概率是Active Directory）默认禁用了匿名访问，因此要求必须完成有效的身份绑定。

要利用Windows服务运行的GMS账户身份进行LDAP认证，无需显式传入密码，可通过Kerberos（GSSAPI）SASL绑定实现，代码如下：

_ldapConnection.Connect(_ldapSettings.Address, LdapConnection.DefaultSslPort);
// 使用当前Windows服务账户的身份，通过Kerberos机制完成LDAP绑定
var saslMechanism = new LdapSaslMechanism("GSSAPI", null);
_ldapConnection.Bind(saslMechanism);

关键说明： #

• 当Windows服务以GMS账户运行时，进程的安全上下文已自动关联该账户，GSSAPI机制会自动利用这个上下文的凭据完成Kerberos认证，无需手动输入密码。
• 确保你的LDAP服务器（如AD）支持Kerberos认证，且GMS账户拥有访问目标LDAP资源的权限。
• 若你的LDAP服务器允许，也可以尝试使用Bind的重载方法，指定LDAP版本并传入null参数（部分场景下会自动使用当前Windows身份）：

  _ldapConnection.Bind(LdapConnection.LdapV3, null, null);
  

  但这种方式的兼容性不如SASL GSSAPI绑定推荐。

内容的提问来源于stack exchange，提问作者Patryk Kubacki