C#通过LDAP访问目录服务

本文介绍如何编写C#程序通过LDAP协议访问微软目录服务获得用户在目录中的属性信息。在开始部分先简单句介绍LDAP协议，然后是技术比较及实现部分。

目录

• 什么是LDAP？

  • 简介
  • 概述
  • 协议内容
  • 产品

• 查询用户信息

• 用途

简介

LDAP是轻型目录访问协议（Lightweight Directory Access Protocol，/ˈɛldæp/），是一个开放的、中立的、工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息访问服务。

目录服务在开发内部网路和与互联网应用共享用户（用户组织）、系统、网络、服务和应用的过程中占据了重要地位。例如，目录服务提供了组织有序的记录集合，通常有层级结构，例如公司电子邮件目录。同理，也提供包含了地址和电话号码的电话簿。

LDAP由互联网工程任务组（IETF）的文档RFC定义，使用了描述语言ASN.1定义。最新的版本是版本3，由RFC 4511所定义。例如，一个用语言描述的LDAP的搜索如：“在公司邮件目录中搜索公司位于那什维尔名字中含有“Jessy”的有邮件地址的所有人。请返回他们的全名，电子邮件，头衔和简述。”

LDAP的一个常用用途是单点登录，用户可以在多个服务中使用同一个密码，通常用于公司内部网站的登录中（这样他们可以在公司计算机上登录一次，便可以自动在公司内部网上登录）。

LDAP基于X.500标准的子集。因为这个关系，LDAP有时被称为X.500-lite。

概述

鉴于原先的目录访问协议（Directory Access Protocol即DAP）对于简单的互联网客户端使用太复杂，IETF设计并指定LDAP做为使用X.500目录的更好的途径。LDAP在TCP/IP之上定义了一个相对简单的升级和搜索目录的协议。

常用词"LDAP目录"可能会被误解，而实际并没有"LDAP目录"这么一个目录种类。通常可以用它来描述任何使用LDAP协议访问并能用X.500标识符标识目录中对象的目录。

协议内容

LDAP目录与普通数据库结构的主要不同之处在于数据的组织方式，它是一种有层次的、树形结构。所有条目的属性的定义是对象类（object class）的组成部分，并组成在一起构成结构（schema）；那些在组织内代表个人的结构被命名为白页结构（white pages schema）。数据库内的每个条目都与若干对象类联系，而这些对象类决定了一个属性是否为可选和它保存哪些类型的信息。属性的名字一般是一个易于记忆的字符串，例如用cn为通用名（common name）命名，而"mail"代表e-mail地址。属性取值依赖于其类型，并且LDAPv3中一般非二进制值都遵从UTF-8字符串语法。例如，mail属性包含值“user@example.com”；jpegPhotos属性一般包含JPEG/JFIF格式的图片。

LDAP目录条目可描述一个层次结构，这个结构可以反映一个政治、地理或者组织的范畴。在原始的X.500模型中，反应国家的条目位于树的顶端；接着是州或者民族组织。典型的LDAP配置使用DNS名称作为树形结构的顶端，下列是代表人、文档、组织单元、打印机和其他任何事务的条目。

LDAP影响了后续的Internet协议，包括新版本的X.500、Directory Services Markup Language (DSML)、Service Provisioning Markup Language (SPML)和Service Location Protocol.

产品

LDAP从下面厂商获得广泛支持：

• Apache - Apache Directory Server
• Apple（苹果） - Open Directory
• AT&T
• Banyan
• HP（惠普）
• IBM - IBM Lotus
• ISODE - M-Vault Server
• Microsoft（微软） - Active Directory
• Netscape（网景） - Sun Microsystems和Red Hat的产品
• Novell - eDirectory
• OctetString - VDE Server
• Oracle（甲骨文） - Oracle Internet Directory
• Red Hat（红帽） - Fedora Directory Server
• Siemens（西门子） - DirX Server
• Sun - iPlanet Directory Server

此外还有开源/自由软件的实现——如Open LDAP、Apache HTTP Server使用代理服务器（通过模块mod_proxy）支持LDAP。

技术选型

微软Windows活动目录的目录服务还是通过微软的技术框架来实现，无论从安全性和稳定性上都会有一定的保证，所以我们采用C#，当然你也可以使用C++实现，相信会有更好的性能提升。

目录服务程序集

这里我们介绍一下目录服务相关的程序集：

名称

说明

System.DirectoryServices

利用System.DirectoryServices命名空间，可以方便地从托管代码中访问AD域服务。 该命名空间包含两个组件类，即DirectoryEntry和DirectorySearcher，它们使用AD服务接口 (ADSI) 技术。 ADSI是Microsoft 提供的一组接口，作为使用各种网络提供程序的灵活的工具。 无论网络有多大，ADSI 都可以使管理员能够相对容易地定位和管理网络上的资源。

System.DirectoryServices.AccountManagement

命名空间提供了统一的访问和用户操作、计算机和组安全原则（在多个主要存储）：活动目录域服务 (AD DS)、 活动目录轻量级目录服务 (AD LDS）和机器 SAM （MSAM）。 管理独立于 命名空间的目录对象。

System.DirectoryServices.ActiveDirectory

命名空间提供一个围绕Microsoft AD服务任务构建的高级别抽象对象模型。AD服务概念（例如，林、域、站点、子网、分区和架构）是此对象模型的一部分。

System.DirectoryServices.Protocols

命名空间提供在轻量目录访问协议 (LDAP) 3 版 (V3) 和目录服务标记语言 (DSML) 2.0 版 (V2) 标准中定义的方法。

两种方法的实现与比较

为了获得用户的目录信息，看来我们需要使用的是前两个程序集和名称空间。

使用System.DirectoryServices.AccountManagement获取用户信息示例：

public DirectoryEntry GetEntryByUsername(string username)
{
    PrincipalContext ctx = new PrincipalContext(ContextType.Domain, domain);
    UserPrincipal user = UserPrincipal.FindByIdentity(ctx, username);
    DirectoryEntry entry = user.GetUnderlyingObject() as DirectoryEntry;

    return entry;
}

第一次运行花费时间630ms

还有一种方法是直接使用目录搜索

public SearchResult GetEntryByUsername(string username)
{
    DirectorySearcher search = new DirectorySearcher();
    search.Filter = $"(&(objectClass=user)(sAMAccountName={username}))";
    SearchResult result = search.FindOne();
}

第一次运行花费时间355ms

而且后续处理的事件花费差异也很大，使用DirectoryEntry获得的对象，所有属性还需要按其结构进行遍历：

public static void ShowProperties(DirectoryEntry entry)
{
    PropertyCollection props = entry.Properties;
    foreach (string k in props.PropertyNames)
    {
        Console.WriteLine("{0}: {1}", k, props[k].Value);
        if (props[k].Value is Array)
        {
            Array arr = (Array)props[k].Value;
            foreach (object obj in arr)
            {
                Console.WriteLine("    Item: " + obj + "    Type: " + obj.GetType().Name);
            }
       }
    }
}

而通过DirectorySearcher查询，不但查询速度快，结果似乎也是直接缓存中读出来的，高效快速。

if (result != null)
{
    // user exists, cycle through LDAP fields (cn, telephonenumber etc.) 
    ResultPropertyCollection fields = result.Properties;
    foreach (String ldapField in fields.PropertyNames)
    {
        // cycle through objects in each field e.g. group membership 
        // (for many fields there will only be one object such as name) 
        foreach (Object myCollection in fields[ldapField])
            Console.WriteLine(String.Format("{0,-20} : {1}",
                          ldapField, myCollection.ToString()));
    }
}

所以这里推荐使用DirectorySearcher直接进行目录对象（不仅限于用户，还有组织单元、计算机、其它设备等信息）的搜索和详细信息输出，效率会提升不少。

利用Microsoft目录服务管理的公司，可以通过目录属性进行网络、设备等进行基于角色的访问控制，通过不同的AD组或设置目录属性，采用不同的管理策略。而IT经常需要对此过程进行自动化处理，所以通过LDAP进行目录服务数据的更改和访问就必不可少，还可以自动化权限（AD组、属性）的复查流程，减少组织和企业管理的人工成本。