IIS应用使用System.DirectoryServices.AccountManagement无法获取LDAP数据

该报错为LDAP绑定失败，本质是部署环境的权限、版本兼容或网络配置问题，可按以下步骤逐一排查解决：

1. 修复版本兼容问题 #

你当前使用的.NET Core 3.1运行时与6.0版本的System.DirectoryServices.AccountManagement包存在跨大版本兼容风险，先将该包降级到匹配运行时的3.1.x版本，重新发布后先测试是否能解决问题。

2. 调整LDAP访问权限配置 #

修改应用程序池为Network Service无效是因为该本地账号默认没有域资源访问权限，可选择以下任意一种方案配置：

• 方案1：将应用程序池标识替换为有权限查询LDAP的域服务账号，账号需设置密码永不过期，确认该账号拥有域用户信息的只读查询权限。
• 方案2：在初始化PrincipalContext时显式传入合法的域账号密码，密码不要硬编码，建议存入配置文件做加密处理：

// 替换为实际的域标识、有权限的域账号、密码
using(var ctx = new PrincipalContext(ContextType.Domain, "mydomain", "LDAP查询账号", "账号密码"))

3. 检查服务器基础配置 #

• 确认部署应用的虚拟机已加入目标mydomain域，未加入域的设备无法使用默认身份访问域LDAP服务。
• 确认服务器防火墙已放开LDAP服务端口：默认非加密LDAP用389端口，加密LDAPS用636端口，保证服务器与域控制器的对应端口网络连通。
• 确认IIS站点的身份模拟功能已关闭：开启身份模拟会用前端访问用户的身份请求LDAP，普通用户默认没有LDAP查询权限，会触发绑定失败。

4. 代码异常兼容优化 #

部分域用户属性可能存在空值、无权限读取的问题，会导致遍历过程中断，建议增加异常捕获逻辑：

foreach(UserPrincipal domainUser in results) 
{
    try
    {
        var adUser = new ApplicationUser {
            Email = domainUser.EmailAddress,
            FirstName = domainUser.Name,
            PhoneNumber = domainUser.VoiceTelephoneNumber,
            UserName = domainUser.UserPrincipalName,
            EmployeeId = domainUser.EmployeeId
        };
        if (!String.IsNullOrWhiteSpace(adUser.Email)) {
            users.Add(adUser);
        }
    }
    catch
    {
        // 可自行添加日志记录单个用户的读取异常，不中断整体遍历流程
        continue;
    }
}

内容的提问来源于stack exchange，提问作者Ashran Haider