Integration Active Directory + Benutzerverwaltung

[Steku]

Zitat von TigerLilly:

Bitte helft mir beim Denken :- )
...Also muss es im AD eine Gruppe/OU(?) geben, die den Zugriff erlaubt. Wie bringe ich diese OU ins AD?

Oder denke ich da verkehrt?

Hallo,

die OU/Gruppe bringt hoffentlich euer Admin ins AD und nicht du mit deinem Programm.
Stell' dir vor jede Software würde nach Belieben OUs, Benutzer, Gruppen, etc. im AD erstellen...

Ich denke du brauchst einfach eine Gruppe im AD, in der alle Benutzer eingetragen sind,
die das Programm benutzen dürfen.
Das fragt du ab - fertisch...

Stichworte könnten ADSI sein, oder mal hier schauen: https://www.rathlev-home.de/tools/admintools.html

Grüße
Steku

[generic]

Die ADSI Sache kann man verwenden. Nutze ich z.B. um Daten vom AD mit einer Datenbank abzugleichen.

Um Mitgliedschaften vom angemeldeten Benutzer zu bekommen, frage ich den Prozess-Token ab.
Ich nutz dazu
OpenProcessToken(GetCurrentProcess(), TOKEN_READ, TokenHandle)
und
GetTokenInformation(TokenHandle, TokenGroups,..)

Ich kann dir leider kein "fertigen" Code geben, da die Quelltexte einen Kunden gehören.

Wenn du Webservices nutzt, kannst du auch mit NTLM, Kerberos arbeiten und den Webservice mit einem impersonate in das Konto des Remote-Benutzers bringen.

[TigerLilly]

Zitat:

Ich habe das schon länger nicht mehr gemacht, aber ich meine im Endeffekt muss man gar nicht fragen, der Nutzer ist ja schon in Windows angemeldet. Warum sollte er sich nochmal einloggen.

Ich muss im Programm den Benutzernamen kennen, also entweder Login in der Software oder Abfrage im AD bzw Widows nach dem Usernamen. Aber stimmt, das genügt eigentlich schon.

Zitat:

ie OU/Gruppe bringt hoffentlich euer Admin ins AD und nicht du mit deinem Programm.
Stell' dir vor jede Software würde nach Belieben OUs, Benutzer, Gruppen, etc. im AD erstellen...

Ich denke du brauchst einfach eine Gruppe im AD, in der alle Benutzer eingetragen sind,
die das Programm benutzen dürfen.

Naja, Admin + Programm müssen sich ja auf dieselbe Gruppe beziehen, egal wer die dann anlegt.

ADSI kenne ich, danke trotzdem.

Der Plan wäre also:
- Beim Programmstart Windows Usernamen ermitteln
- damit in einer AD Gruppe nachsehen, ob enthalten -- > darf Programm ausführen
- damit in dieser AD Gruppe nach weiteren Einstellungen (Mandant etc) suchen