Опрос только на изменение пароля в Active Directory

Question

Каков рекомендуемый подход для изменения пароля для голосования только в Active Directory, получить обновленный пароль и обновить где-нибудь еще?

Я изучил классы в пространстве имен System.DirectoryServices.Protocols, таких как класс DirectoryNotificationControl, но похоже, что это будет опрос для любого атрибута, а затем нам нужно запросить, чтобы узнать, действительно ли интересующий нас атрибут (пароль) действительно изменился ,

Также как мы получаем значение пароля из активного каталога? Возможно использование LSA, хотя и очень сложное.

Answer 1

Насколько я знаю, по умолчанию пароль (хранимый в зашифрованном виде) не может быть прочитан в Active Directory. Вы можете изменить политику, чтобы сохранить ее обратимым образом, но это действительно не очень хорошо.

Единственный способ, которым я знаю, - установить компонент на каждом клиентском компьютере. Компонент поймает изменение пароля, и вы можете делать то, что хотите.

От NT to XP этот компонент был назван GINA (DLL). Начиная Vista, этот компаньон должен быть написан с использованием API-интерфейса Credential.

Answer 2

Единственный «простой» способ (и это ОЧЕНЬ большие цитаты вокруг «простых») заключается в том, чтобы написать Password Filter Dll, размещенный на контроллере домена.

Вы можете реализовать интерфейс PasswordChangeNotify и обновить свой код независимо от того, что необходимо для уведомления об изменении пароля.

Однако это должно быть сделано в собственном коде, поэтому C# не разрешено.

---

Первоначально я пошел по этой дороге, и в конечном итоге отказ от него и использовать другой метод отслеживания измененных паролей, однако одна вещь, которую я обнаружить по пути был проект с открытым исходным кодом под названием passwdhk, которые могут быть полезно для вас.

Что делает passwdhk, он реализует DLL для фильтра паролей для вас, однако весь фильтр выполняет запуск другого исполняемого файла с аргументами командной строки, которые передаются в функцию уведомления о смене пароля (программа «пост-изменение» пересылает аргументы от PasswordChangeNotify, «программа предварительной смены» пересылает аргументы от PasswordFilter). Это позволяет вам писать код, который обновляет другую службу на C#, просто берет пароль из командной строки, а не перехватывает сам пароль.