ASP.NET应用迁移至Azure AppService后，如何连接本地Active Directory？

一、必须检查的配置项 #

Azure App Service侧 #

• 网络连通性：
  • 若AD部署在本地私有网络，需配置VNet集成，将App Service接入本地网络所在的虚拟网络，确保路由可达；或使用混合连接创建端点连接AD的LDAP端口（默认389，SSL为636）。
  • 检查网络安全组（NSG）是否允许App Service出站访问AD服务器的389/636端口。
• 敏感信息管理：
  • 禁止硬编码LDAP账号、密码，将这些信息存入App Service的应用设置中，代码通过Environment.GetEnvironmentVariable读取，既安全又便于维护。
• 证书信任（若用LDAPS）：
  • 若使用LDAPS协议（LDAPS://<IP>:636），需确保AD服务器的SSL证书有效，且根CA证书已导入App Service的TLS/SSL信任列表。

本地AD服务器侧 #

• 防火墙与权限：
  • 本地防火墙需允许来自App Service所在IP段的LDAP/ LDAPS流量。
  • 用于连接AD的账号需具备读取目录数据的权限，普通域用户默认拥有该权限，若为受限账号需手动配置。

二、修正后的代码方案 #

方案1：使用DirectoryServices原生API #

using System;
using System.DirectoryServices;

public class AdHelper
{
    public void GetUserRoles()
    {
        // 从App Service应用设置读取配置
        string ldapPath = Environment.GetEnvironmentVariable("LDAP_PATH");
        string serviceUsername = Environment.GetEnvironmentVariable("LDAP_USERNAME");
        string servicePassword = Environment.GetEnvironmentVariable("LDAP_PASSWORD");
        string targetSamAccountName = "要查询的用户名";

        try
        {
            // 初始化目录条目，指定安全认证类型
            using (DirectoryEntry entry = new DirectoryEntry(
                ldapPath, 
                serviceUsername, 
                servicePassword, 
                AuthenticationTypes.Secure))
            {
                // 触发实际绑定操作，验证连接有效性（必须执行，否则DirectoryEntry会延迟绑定）
                _ = entry.NativeObject;

                // 配置搜索器，过滤条件加入对象类别和类，避免无效结果
                using (DirectorySearcher searcher = new DirectorySearcher(entry))
                {
                    // 参数化过滤，防止LDAP注入
                    searcher.Filter = $"(&(objectCategory=person)(objectClass=user)(SAMAccountName={targetSamAccountName}))";
                    // 加载需要的属性：用户名、所属组（角色）
                    searcher.PropertiesToLoad.Add("cn");
                    searcher.PropertiesToLoad.Add("memberOf");

                    SearchResult result = searcher.FindOne();
                    if (result != null)
                    {
                        string userName = result.Properties["cn"][0].ToString();
                        Console.WriteLine($"找到用户：{userName}");

                        // 遍历用户所属角色组
                        if (result.Properties.Contains("memberOf"))
                        {
                            foreach (string groupDn in result.Properties["memberOf"])
                            {
                                // 解析组名称（从DN中提取CN部分）
                                string groupName = groupDn.Split(',')[0].Replace("CN=", "");
                                Console.WriteLine($"所属角色：{groupName}");
                            }
                        }
                    }
                    else
                    {
                        Console.WriteLine("未找到指定用户");
                    }
                }
            }
        }
        catch (Exception ex)
        {
            Console.WriteLine($"AD操作失败：{ex.Message}");
            // 可在此添加日志记录逻辑
        }
    }
}

方案2：使用AccountManagement API（更简洁） #

该API封装了底层LDAP操作，代码更易读：

using System;
using System.DirectoryServices.AccountManagement;

public class AdHelper
{
    public void GetUserRoles()
    {
        string domain = "你的域名（如contoso.com）";
        string targetUsername = "要查询的用户名";
        string serviceUsername = Environment.GetEnvironmentVariable("LDAP_USERNAME");
        string servicePassword = Environment.GetEnvironmentVariable("LDAP_PASSWORD");

        try
        {
            using (PrincipalContext context = new PrincipalContext(
                ContextType.Domain, 
                domain, 
                serviceUsername, 
                servicePassword))
            {
                // 根据用户名查找用户
                using (UserPrincipal user = UserPrincipal.FindByIdentity(context, targetUsername))
                {
                    if (user != null)
                    {
                        Console.WriteLine($"用户：{user.DisplayName}");

                        // 获取用户所属所有组（角色）
                        var groups = user.GetGroups();
                        foreach (GroupPrincipal group in groups)
                        {
                            Console.WriteLine($"所属角色：{group.Name}");
                            group.Dispose();
                        }
                    }
                    else
                    {
                        Console.WriteLine("未找到指定用户");
                    }
                }
            }
        }
        catch (Exception ex)
        {
            Console.WriteLine($"AD操作失败：{ex.Message}");
        }
    }
}

三、关键注意点 #

• 必须执行entry.NativeObject访问操作，否则DirectoryEntry不会触发实际的AD连接，无法提前发现连接错误。
• 过滤条件要加入objectCategory=person和objectClass=user，缩小搜索范围，提升性能。
• 避免直接拼接用户输入到LDAP过滤条件中，防止LDAP注入风险（示例中已使用参数化方式）。

内容的提问来源于stack exchange，提问作者user3404686