Come convalidare i credenziali di Active Directory su LDAP + SSL?

Question

Sto provando a utilizzare lo spazio dei nomi .NET 3.5 System.DirectoryServices.AccountManagement per convalidare le credenziali dell'utente sul server LDAP di Active Directory su una connessione LDAP crittografata SSL. Ecco il codice di esempio:

using (var pc = new PrincipalContext(ContextType.Domain, "sd.example.com:389", "DC=sd,DC=example,DC=com", ContextOptions.Negotiate)) 
{ 
    return pc.ValidateCredentials(_username, _password); 
} 

Questo codice funziona bene su LDAP non protetto (porta 389), ma preferirei non trasmetto una combinazione utente/passaggio in chiaro. Ma quando cambio a LDAP + SSL (porta 636), ottengo la seguente eccezione:

System.DirectoryServices.Protocols.DirectoryOperationException: The server cannot handle directory requests. 
    at System.DirectoryServices.Protocols.ErrorChecking.CheckAndSetLdapError(Int32 error) 
    at System.DirectoryServices.Protocols.LdapSessionOptions.FastConcurrentBind() 
    at System.DirectoryServices.AccountManagement.CredentialValidator.BindLdap(NetworkCredential creds, ContextOptions contextOptions) 
    at System.DirectoryServices.AccountManagement.CredentialValidator.Validate(String userName, String password) 
    at System.DirectoryServices.AccountManagement.PrincipalContext.ValidateCredentials(String userName, String password) 
    at (my code) 

Port 636 funziona per altre attività, come ad esempio la ricerca delle informazioni non-password per tale voce LDAP/AD ...

UserPrincipal.FindByIdentity(pc, IdentityType.SamAccountName, _username) 

... così io so che non è messa a punto del mio SSL server LDAP, poiché funziona su SSL per altre ricerche.

Qualcuno ha ottenuto la chiamata ValidateCredentials(...) per funzionare su SSL? Puoi spiegare come? O c'è un altro/miglior modo per validare in modo sicuro le credenziali AD/LDAP?

Answer 1

Sono riuscito a convalidare le credenziali utilizzando lo spazio dei nomi System.DirectoryServices.Protocols, grazie a un collega. Ecco il codice:

// See http://support.microsoft.com/kb/218185 for full list of LDAP error codes 
const int ldapErrorInvalidCredentials = 0x31; 

const string server = "sd.example.com:636"; 
const string domain = "sd.example.com"; 

try 
{ 
    using (var ldapConnection = new LdapConnection(server)) 
    { 
     var networkCredential = new NetworkCredential(_username, _password, domain); 
     ldapConnection.SessionOptions.SecureSocketLayer = true; 
     ldapConnection.AuthType = AuthType.Negotiate; 
     ldapConnection.Bind(networkCredential); 
    } 

    // If the bind succeeds, the credentials are valid 
    return true; 
} 
catch (LdapException ldapException) 
{ 
    // Invalid credentials throw an exception with a specific error code 
    if (ldapException.ErrorCode.Equals(ldapErrorInvalidCredentials)) 
    { 
     return false; 
    } 

    throw; 
} 

Io non sono entusiasta con l'utilizzo di un blocco try/catch per controllare decisioning logica, ma è ciò che funziona. :/

Answer 2

Forse questo è un altro modo. Non c'è nulla di insolito nelle credenziali di convalida. Il ContextOptions deve essere impostato correttamente.

Valore di default:

ContextOptions.Negotiate | ContextOptions.Signing | ContextOptions.Sealing

Aggiungere Ssl:

ContextOptions.Negotiate | ContextOptions.Signing | ContextOptions.Sealing | ContextOptions.SecureSocketLayer

ContextOptions.Negotiate o ContextOptions.SimpleBind è richiesto. O qualunque sia il tuo server ha bisogno di eseguire l'autenticazione. ContextOptions supporta solo OR bit-bit.

Si potrebbe anche provare a impostare le proprietà ContextOptions direttamente in questo modo nel metodo ValidateCredentials.

using (var pc = new PrincipalContext(ContextType.Domain, "sd.example.com:636", "DC=sd,DC=example,DC=com", ContextOptions.Negotiate | ContextOptions.SecureSocketLayer)) 
{ 
    return pc.ValidateCredentials(_username, _password); 
} 

O

using (var pc = new PrincipalContext(ContextType.Domain, "sd.example.com:636", "DC=sd,DC=example,DC=com", ContextOptions.Negotiate)) 
{ 
    return pc.ValidateCredentials(_username, _password, ContextOptions.Negotiate | ContextOptions.SecureSocketLayer); 
} 

Answer 3

Per me, il metodo ValidateCredentials funziona bene. Il problema, ho trovato, era sul server che ospita l'AD (sto usando AD LDS). È necessario associare il certificato del server all'istanza AD. Pertanto, se l'istanza è stata chiamata "MyAD" (o ActiveDirectoryWebService), è necessario aprire la console MMC, eseguire lo snap nel modulo "Certificati", selezionare "Account servizio" e quindi selezionare "MyAD" dall'elenco. Da lì è possibile aggiungere il certificato SSL nell'archivio personale "MyAD". Questo finalmente ha dato il via all'elaborazione SSL.

Sospetto, da quello che so del metodo LdapConnection e dal fatto che si è omessa la funzione di callback, che non si sta convalidando il certificato del server. È un lavoro disordinato e ValidateCredentials lo fa gratuitamente. Probabilmente non è un grosso problema, ma un buco di sicurezza nessuno.