asp.net - Active Directory - 调用目标已引发异常

Question

我在 Active Directory 之外的单独服务器上有一个 Web 应用程序，并且我想要更改用户密码。代码如下:

string newPassword = Membership.GeneratePassword(int.Parse(WebConfigurationManager.AppSettings["passLenght"]),
                                int.Parse(WebConfigurationManager.AppSettings["passNonAlpha"]));

DirectoryEntry de = new DirectoryEntry(WebConfigurationManager.ConnectionStrings["ADConnString"].ConnectionString,
WebConfigurationManager.AppSettings["ADAdmin"], WebConfigurationManager.AppSettings["ADAdminPass"]);

DirectorySearcher deSearch = new DirectorySearcher(de);
deSearch.Filter = "(&(objectClass=user) (userPrincipalName=" + name + "))";

SearchResultCollection results = deSearch.FindAll();

if (results.Count == 1)
{
   foreach (SearchResult OneSearchResult in results)
   {
      DirectoryEntry AlterUser = OneSearchResult.GetDirectoryEntry();
      AlterUser.AuthenticationType = AuthenticationTypes.Secure;
      AlterUser.Invoke("SetPassword", newPassword);
      AlterUser.CommitChanges();
      AlterUser.Close();
   }
}

当我在我的开发环境(其中 Active Directory 和 Web 应用程序位于同一服务器上)中运行它时，它正在运行。但是当我尝试在生产环境中运行它时，我遇到了下一个错误:

Exception has been thrown by the target of an invocation

我错过了什么？

谢谢。

编辑:

我可以深入研究异常错误，我得到了这个:

Access is denied. (Exception from HRESULT: 0x80070005 (E_ACCESSDENIED))

Answer 1

权限是问题所在。运行 ASP.NET 代码的帐户没有设置帐户密码的权限。

或者:

• 在具有所需权限的用户下运行 AppPool，或者
• 使用impersonation提升 SetPassword 调用的权限

它在您的开发环境中工作/在生产中失败的原因可能是由于以下因素的组合:

• 您正在 Visual Studio 开发 Web 服务器下运行该应用，该服务器在您的用户帐户下运行，该帐户具有必要的权限。在“真正的”IIS 下运行它会在特权较低的帐户下运行它。
• 在实际环境中，从 Web 服务器到 AD 服务器还有另一台机器跳跃，并且凭证不会被传递。 Web 服务器需要具有网络凭据(作为 AppPool 身份的一部分，或调用 LogonUser)才能向 AD 进行身份验证。