如何在Node.js中连接AWS Managed Microsoft AD实现登录身份验证

依赖选择 #

AWS Managed Microsoft AD完全兼容标准Active Directory协议，无需使用AWS专属SDK，直接使用通用AD/LDAP客户端模块即可实现对接，推荐使用经过社区验证的activedirectory包，该包基于ldapjs封装，针对AD场景做了大量适配，减少重复开发。
安装命令：
npm install activedirectory

前置准备 #

• 确认Node.js服务所在网络与AWS Managed AD所在VPC网络互通
• 确认AD安全组已放开Node.js服务IP的389（LDAP）/636（LDAPS，推荐）端口访问权限
• 提前获取AWS Managed AD的连接地址、根域名、用于验证的服务账号及密码（建议使用仅拥有查询权限的低权限服务账号，不要用域管理员账号）

核心实现代码 #

1. 初始化AD客户端 #

const ActiveDirectory = require('activedirectory');

// 替换为你自己的AD配置
const adConfig = {
  url: 'ldaps://AD的IP或DNS地址', // 优先使用ldaps协议走加密传输
  baseDN: 'dc=myad,dc=local', // 替换为你的AD根域名，比如域为myad.local就填该值
  username: 'auth-svc@myad.local', // 替换为你的服务账号
  password: '你的服务账号密码'
};

const adClient = new ActiveDirectory(adConfig);

2. 登录身份验证逻辑 #

// 从登录请求中获取用户输入的账号密码
const userInputUsername = req.body.username;
const userInputPassword = req.body.password;

adClient.authenticate(userInputUsername, userInputPassword, (error, isAuthenticated) => {
  if (error) {
    // 验证失败，可根据错误类型细化返回提示，比如账号不存在、密码错误、账号被锁定等
    return res.status(401).json({
      code: 'AUTH_FAILED',
      message: '用户名或密码错误'
    });
  }
  if (isAuthenticated) {
    // 验证通过，可根据需求查询用户所属组、属性等信息做权限校验，再生成会话凭证返回给前端
    return res.json({
      code: 'SUCCESS',
      message: '登录成功'
    });
  }
});

扩展功能实现 #

如果需要实现基于AD组的权限控制，可在用户验证通过后调用adClient.findUser或adClient.getGroupMembershipForUser方法获取用户所属组信息，匹配预设的权限规则即可。

常见问题排查 #

• 连接AD超时：优先检查安全组、网络ACL规则是否放通对应端口，确认Node.js服务和AD在同一VPC或已通过对等连接、中转网关等方式打通网络
• 域名解析失败：可以直接使用AWS Managed AD控制台给出的两个AD实例IP作为连接地址
• 验证逻辑报错：可以先通过AD管理工具验证用户账号本身状态正常，再检查用户名输入格式是否符合AD要求（支持用户名@域名或域名\用户名两种格式）

内容的提问来源于stack exchange，提问作者Kalyani Pullela