从Java（web应用程序）对Active Directory 2016进行身份验证

Question

我已经设置了一个广告2016安装。现在打算使用它对web应用程序（java）进行身份验证。我有一段用于测试身份验证的代码，并有一些观察。

public static void main(String[] args) 
{  
    String userid="userhere",password="passwordhere";
    LdapContextCreation ldapContxCrtn = new LdapContextCreation();  
    LdapContext ctx = ldapContxCrtn.getLdapContext(userid,password);
    if(ctx==null)
    {System.out.println("Authentication Failed.");}
    else
    {System.out.println("Authentication Successful.");} 
    }  
    public LdapContext getLdapContext(String base, String password)
    {  
        LdapContext ctx = null;  
        try
    { 
            Hashtable<String, String> env = new Hashtable<String, String>();
            env.put(Context.INITIAL_CONTEXT_FACTORY,  "com.sun.jndi.ldap.LdapCtxFactory");  
            env.put(Context.SECURITY_AUTHENTICATION, "Simple");
            env.put(Context.SECURITY_PRINCIPAL, base);
            env.put(Context.SECURITY_CREDENTIALS, password);
            env.put(Context.PROVIDER_URL, "ldaps://mydomaincontroller:636");
            ctx = new InitialLdapContext(env, null);  
     }
    catch(NamingException nex)
    {  
            //nex.printStackTrace();  
    }

现在我在以下场景中测试了用户/密码组合-

//第一个组合，user1存在于AD中并且密码正确（测试经过身份验证的绑定）。字符串userid=“[e-mail]”，password=“user1password”；预期：身份验证成功。实际：身份验证成功。这一点我很清楚。对于不正确的密码，它响应正确的消息-身份验证失败。

Answer 1

您看到的是一个“未经身份验证的绑定”，详细说明见LDAP RFC 4513第5.1.2节，并在第6.3.1节中说明了后续的安全注意事项。

最好在代码中处理这一点（即，在与目录服务器通信之前，验证用户名和密码都是非空的）。Windows 2019中添加了一个禁止未经身份验证的绑定操作的设置--在您的配置分区中，打开cn=Directory Service,cn=Windows NT,cn=services,cn=Configuration的属性--找到msDS-Other-Settings属性，并添加一个新条目denyunauthenticatedbind=1。但是，除非您正在编写一个一次性应用程序，该应用程序只能与您拥有的Active Directory一起使用，否则其他活动目录也是以这种方式配置的，这是不安全的假设。