如何通过ASP.NET Web应用获取AD用户会话详情？

完全可行，不需要额外安装代理工具，核心是利用Windows集成身份验证（NTLM/Kerberos）实现无界面自动登录并获取AD用户信息，全程无需手动登录界面。

一、核心原理 #

内网站点启用Windows集成身份验证后，浏览器会自动使用当前登录域的AD账户凭据与站点完成身份校验，验证通过后服务器端可直接读取用户的AD属性信息，包括sAMAccountName、用户名等。

二、具体配置步骤（以ASP.NET/IIS环境为例） #

1. IIS站点身份验证配置 #

• 打开IIS管理器，定位目标站点，进入「身份验证」设置
• 禁用「匿名身份验证」，启用「Windows身份验证」
• 确保站点应用程序池的运行账户具备读取域AD信息的权限（建议使用域账户）

2. 服务器端获取用户信息 #

以C#为例，在ASP.NET中可直接通过代码读取：

// 获取当前登录用户的sAMAccountName（格式为 域名\账户名，拆分后取账户名部分）
string samAccountName = User.Identity.Name.Split('\\')[1];

// 读取完整AD用户属性（需引用System.DirectoryServices.AccountManagement类库）
using (PrincipalContext context = new PrincipalContext(ContextType.Domain))
{
    UserPrincipal user = UserPrincipal.FindByIdentity(context, samAccountName);
    string displayName = user.DisplayName;
    string email = user.EmailAddress;
    // 如需读取更多AD属性，可通过user.GetUnderlyingObject()获取DirectoryEntry后读取
}

注意：部署站点的服务器需加入域，或能正常访问域控制器的LDAP服务。

三、浏览器端配置要求 #

• 将内网站点添加到浏览器的「本地Intranet」或「受信任站点」区域，确保浏览器自动发送AD凭据
• Chrome/Edge需在设置中开启「允许Windows集成身份验证」，并将站点加入例外列表

四、特殊场景说明 #

• 若站点不在域内，可配置Kerberos跨域身份验证，但复杂度较高，建议优先将站点服务器加入域
• 非Windows系统（macOS/Linux）用户需配置Kerberos客户端获取域凭据，也可实现自动登录，但步骤相对繁琐

内容的提问来源于stack exchange，提问作者user3565914