Изменение пароля Active Directory LDAP через C# ASP.NET: не удается прочитать конфигурацию

Вы пробовали DirectoryEntry? С этим легче отлаживать проблемы, связанные с подключением.

var entry = new DirectoryEntry{
        Path = "LDAP://yourDCname";
        Username = yourUsername;
        Password = yourPassword;
    };

    using(var searcher = new DirectorySearcher(entry))
    {
        searcher.Filter = "(sAMAccountName=Jane)";
        var result = searcher.FindOne();
        var user = result.GetDirectoryEntry();

        try
        {
            user.Invoke("ChangePassword", new object[] { oldPassword, newPassword});
            user.CommitChanges();
        }
        catch
        {
            throw;
        }

    }

Я также однажды забыл, что плагин ZenMate VPN работает в Google Chrome в фоновом режиме. Поэтому я не смог подключиться к контроллеру домена.

У меня была аналогичная проблема с веб-страницей сервера сброса пароля, чтобы пользователи могли сбросить свой собственный пароль. Я обнаружил, что домен был настроен не слишком разрешить это, даже если учетной записи службы были даны разрешения просто сбрасывать пароли. Вы пытались дать учетной записи службы права администратора домена просто в качестве проверки того, что это не проблема с разрешениями?

Итак, UserPrincipal.ChangePassword() будет вызов:

de.Invoke("ChangePassword", new object[] { oldPassword, newPassword });

на DirectoryEntry он используется негласно. DirectoryEntry.Invoke() используется для вызова «метода на собственном объекте доменных служб Active Directory», что означает, что в конечном итоге будет использован собственный метод Windows IADsUser::ChangePassword. Замечания для этого говорит, что использует один из трех методов:

IADsUser::ChangePassword functions similarly to IADsUser::SetPassword in that it will use one of three methods to try to change the password. Initially, the LDAP provider will attempt an LDAP change password operation, if a secure SSL connection to the server is established. If this attempt fails, the LDAP provider will next try to use Kerberos (see IADsUser::SetPassword for some problems that may result on Windows with cross-forest authentication), and if this also fails, it will finally call the Active Directory specific network management API, NetUserChangePassword.

Примечания IADsUser::SetPassword говорит немного больше:

• First, the LDAP provider attempts to use LDAP over a 128-bit SSL connection. For LDAP SSL to operate successfully, the LDAP server must have the appropriate server authentication certificate installed and the clients running the ADSI code must trust the authority that issued those certificates. Both the server and the client must support 128-bit encryption.
• Second, if the SSL connection is unsuccessful, the LDAP provider attempts to use Kerberos.
• Third, if Kerberos is unsuccessful, the LDAP provider attempts a NetUserSetInfo API call. In previous releases, ADSI called NetUserSetInfo in the security context in which the thread was running, and not the security context specified in the call to IADsOpenDSObject::OpenDSObject or ADsOpenObject. In later releases, this was changed so that the ADSI LDAP provider would impersonate the user specified in the OpenDSObject call when it calls NetUserSetInfo.

Так что, если это совсем не работает для вас, это означает, что все три метода не работают.

Я действительно не знаю, как работает Kerberos или NetUserSetInfo, но я знаю, как работает LDAP через SSL, и это то, что вы и попробуйте посмотреть, подойдет ли он для вас.

должно быть так же просто, как поместить :636 в конец вашего ServerDomain для подключения к порту LDAPS (при условии, что это DNS-имя домена):

using (var context = new PrincipalContext(ContextType.Domain, $"{ServiceDomain}:636", ServiceDefaultLocation, ContextOptions.Negotiate, ServiceUser, ServicePassword))
using (var identity = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, "Jane"))
{
    // identity.SetPassword("SomeNewPassword"); // also tried
    identity.ChangePassword("TheOldPassword", "SomeNewPassword"); // this is the error line
    identity.Save();
}

Но у вас могут возникнуть проблемы, если сервер использует сертификат, которому компьютер, с которого вы его запускаете, не доверяет (вам придется установить корневой сертификат на машине, с которой вы его запускаете). Также возможно, что LDAPS просто не работает на DC.

Но попробовать стоит.