非管理员登录时ADUser返回用户无法修改密码的问题排查

核心原因 #

普通域用户默认没有足够权限读取AD中自身的userAccountControl属性（UserCannotChangePassword正是基于这个属性的位标志判断的），当权限不足时，UserPrincipal类会返回错误的默认值（判定为True），而管理员账号因为有域内更高权限，能正确读取该属性。

另外，AccountManagement命名空间的封装类（比如UserPrincipal）在权限不足时，不会抛出明确的权限异常，而是返回不准确的属性值，这会导致你误判用户无法修改密码。

解决方案 #

方案1：调整AD用户对象权限 #

在Active Directory中，给普通域用户组授予读取userAccountControl属性的权限：

• 打开AD用户和计算机，找到目标用户或用户组
• 右键→属性→安全→高级→添加，选择“Authenticated Users”或目标用户组
• 权限类型选“允许”，权限项勾选“读取userAccountControl”
• 应用并保存设置

方案2：绕过UserPrincipal，直接用DirectoryEntry读取原生属性 #

直接操作AD原生属性可以避免AccountManagement封装的权限问题，手动解析密码相关标志和计算过期时间：

Public Function GetDaysToExpire(ByRef Days As Integer) As adResults
    Dim daysToExpire As Integer = -1
    Dim rc As adResults = adResults.ERROR
    Dim domainName As String = Environment.UserDomainName
    Dim userName As String = Environment.UserName

    Try
        ' 绑定到当前用户的AD条目
        Dim de As New DirectoryEntry($"LDAP://{domainName}/{GetUserDistinguishedName(userName, domainName)}")
        de.RefreshCache(New String() {"userAccountControl", "lastPwdSet", "maxPwdAge"})

        ' 解析userAccountControl标志
        Dim uac As Integer = DirectCast(de.Properties("userAccountControl").Value, Integer)
        Const UF_PASSWORD_NEVER_EXPIRES As Integer = &H10000
        Const UF_PASSWORD_NOT_REQUIRED As Integer = &H20
        Const UF_CANNOT_CHANGE_PASSWORD As Integer = &H40

        If (uac And UF_PASSWORD_NEVER_EXPIRES) <> 0 Then
            rc = adResults.PWD_DOES_NOT_EXPIRE
        ElseIf (uac And UF_PASSWORD_NOT_REQUIRED) <> 0 Then
            rc = adResults.PWD_NOT_REQUIRED
        ElseIf (uac And UF_CANNOT_CHANGE_PASSWORD) <> 0 Then
            rc = adResults.PWD_USER_CANNOT_CHANGE
        Else
            ' 计算密码过期时间
            Dim lastPwdSet As Long = DirectCast(de.Properties("lastPwdSet").Value, Long)
            Dim lastPwdSetDate As Date = DateTime.FromFileTime(lastPwdSet)
            Dim maxPwdAge As Long = DirectCast(de.Properties("maxPwdAge").Value, Long)
            
            If maxPwdAge = 0 Then
                rc = adResults.PWD_DOES_NOT_EXPIRE
            Else
                Dim expireDate As Date = lastPwdSetDate.AddTicks(-maxPwdAge)
                daysToExpire = CInt(DateDiff(DateInterval.Day, DateTime.Now, expireDate))
                rc = adResults.OK
            End If
        End If

        Days = daysToExpire
        de.Dispose()
    Catch ex As Exception
        exError = New Exception("获取用户信息失败: " & ex.Message)
        rc = adResults.ERROR
    End Try

    Return rc
End Function

' 辅助函数：获取用户的DistinguishedName
Private Function GetUserDistinguishedName(userName As String, domainName As String) As String
    Dim pc As New PrincipalContext(ContextType.Domain, domainName)
    Dim up As UserPrincipal = UserPrincipal.FindByIdentity(pc, userName)
    Dim dn As String = up.DistinguishedName
    up.Dispose()
    pc.Dispose()
    Return dn
End Function

方案3：使用服务账号创建上下文（谨慎使用） #

如果允许，可以使用拥有AD读取权限的服务账号来创建PrincipalContext，这样普通用户登录时也能通过服务账号的权限读取正确属性：

' 替换成你的服务账号凭据
Dim pc As New PrincipalContext(ContextType.Domain, "yourdomain.com", "serviceaccount", "servicepassword")

注意：此方案需要妥善存储服务账号的凭据，避免安全风险。

内容的提问来源于stack exchange，提问作者Lee