在AWS场景下通过Azure AD验证服务账号用户身份

针对你在AWS场景中需要验证AD用户凭据的需求，以下是两种无需获取令牌、更贴合你原有.NET Standard验证逻辑的方案：

1. 通过AWS托管AD的LDAP绑定验证 #

如果你的AD是通过AWS Directory Service托管的，可以直接使用LDAP绑定操作来验证用户凭据，这和你原代码中PrincipalContext.ValidateCredentials的逻辑本质一致，无需额外权限：

using System.DirectoryServices.Protocols;

public bool ValidateAdCredentials(string username, string password, string ldapServer, string domain)
{
    using var ldapConnection = new LdapConnection(new LdapDirectoryIdentifier(ldapServer));
    ldapConnection.AuthType = AuthType.Negotiate;
    
    try
    {
        // 构造用户UPN格式，比如username@domain.com
        string userUpn = $"{username}@{domain}";
        ldapConnection.Bind(new NetworkCredential(userUpn, password));
        return true;
    }
    catch (LdapException ex)
    {
        // 凭据无效时会抛出错误码为0x31的异常
        if (ex.ErrorCode == 0x31)
            return false;
        // 处理其他LDAP相关异常
        throw;
    }
}

这种方式直接通过LDAP绑定验证凭据有效性，不需要额外的Azure AD企业应用权限，逻辑和你原有代码高度匹配。

2. 利用AWS IAM Identity Center的身份验证接口 #

如果你的AD已经与AWS IAM Identity Center（原AWS SSO）集成作为身份源，可以调用IAM Identity Center的InitiateAuth API，传入用户的用户名和密码进行验证。仅需配置基础的验证权限即可，无需额外的令牌相关权限：

using Amazon.IdentityManagement;
using Amazon.IdentityManagement.Model;

public async Task<bool> ValidateViaIdentityCenter(string username, string password, string identityStoreId)
{
    var client = new AmazonIdentityManagementServiceClient();
    try
    {
        var request = new InitiateAuthRequest
        {
            AuthFlow = AuthFlowType.USER_PASSWORD_AUTH,
            AuthParameters = new Dictionary<string, string>
            {
                {"USERNAME", username},
                {"PASSWORD", password}
            },
            ClientId = "your-identity-center-client-id",
            IdentityStoreId = identityStoreId
        };
        await client.InitiateAuthAsync(request);
        // 未抛出异常则说明凭据有效
        return true;
    }
    catch (InvalidParameterException ex)
    {
        // 凭据无效时会返回对应错误信息
        if (ex.Message.Contains("Invalid username or password"))
            return false;
        throw;
    }
}

这种方式适合已经在使用IAM Identity Center管理身份的场景，无需额外搭建LDAP客户端。

需要注意的是，不管采用哪种方案，都要确保你的服务能够访问对应的AWS资源（比如托管AD的LDAP端点、IAM Identity Center），并配置好相应的网络权限（如安全组规则、VPC端点）。

内容的提问来源于stack exchange，提问作者Marmz Goolam