Active Directory: получить RootDSE в домене, находящемся в лесу с несколькими корнями?

Похоже, что учетная запись пользователя, с которой Active Directory пытается аутентифицировать «вас», не существует, как сообщает ваш DirectoryServicesCOMException.

DirectoryServicesCOMException: ошибка входа в систему: неизвестное имя пользователя или неверный пароль.

Посмотрите на свой образец кода, похоже, вы не используете олицетворение, поэтому протокол безопасности Active Directory принимает во внимание текущего аутентифицированного пользователя. Сделайте этого пользователя самостоятельно, тогда, если вы не определены в обоих корнях вашего домена, один из них не знает вас, что вызывает такого рода исключение.

С другой стороны, использование олицетворения может решить проблему здесь, поскольку вы говорите, что ваша учетная запись службы Windows имеет право запрашивать оба ваших корня в одном и том же лесу, тогда вы должны убедиться, что аутентифицированный пользователь является вашей службой Windows.

Ясно, что это означает, что без олицетворения вы не можете гарантировать, что аутентифицированный пользователь ЯВЛЯЕТСЯ вашей службой Windows. Чтобы убедиться в этом, необходимо обязательно использовать выдачу себя за другое лицо.

Теперь о двух корнях

1. ktregression.com;
2. ktregression.root.

Это два разных и независимых корня. Из-за этого, я думаю, вам следует использовать два экземпляра класса DirectoryEntry, подходящие по одному для каждого корня.

После создания экземпляров корней вам нужно найти пользователя, которого вы хотите найти, который должен быть другим userName, отличным от того, который олицетворяет.

Теперь мы должны указать, можно ли определить пользователя для обоих корней. Если это так, вам нужно знать, когда лучше выбрать одно из них. И это другой повод для беспокойства.

Примечание
Для простоты я буду считать, что имена обоих корней являются полными / полными, как вы их упомянули.

private string _dotComRootPath = "LDAP://ktregression.com";
private string _dotRootRootPath = "LDAP://ktregression.root";
private string _serviceAccountLogin = "MyWindowsServiceAccountLogin";
private string _serviceAccountPwd = "MyWindowsServiceAccountPassword";

public string GetUserDomain(string rootPath, string login) {
    string userDomain = null;

    using (DirectoryEntry root = new DirectoryEntry(rootPath, _serviceAccountLogin, _serviceAccountPwd)) 
        using (DirectorySearcher searcher = new DirectorySearcher()) {
            searcher.SearchRoot = root;
            searcher.SearchScope = SearchScope.Subtree;
            searcher.PropertiesToLoad.Add("nETBIOSName");
            searcher.Filter = string.Format("(&(objectClass=user)(sAMAccountName={0}))", login);

            SearchResult result = null;

            try {
                result = searcher.FindOne();

                if (result != null) 
                    userDomain = (string)result.GetDirectoryEntry()
                                    .Properties("nETBIOSName").Value;                                     
            } finally {
                dotComRoot.Dispose();
                dotRootRoot.Dispose();
                if (result != null) result.Dispose();
            }
        }            

    return userDomain;
}

И используя это:

string userDomain = (GetUserDomain(_dotComRoot, "searchedLogin") 
                        ?? GetUserDomain(_dotRootRoot, "searchedLogin")) 
                    ?? "Unknown user";

Ваше исключение генерируется только при второй DirectoryEntry инициализации, которая предполагает, что у вашего текущего пользователя по умолчанию нет учетной записи, определенной в этом корне.

ИЗМЕНИТЬ №1

См. Мой ответ на другой ваш вопрос, связанный с именем NetBIOS, ниже:
C # Active Directory: получить доменное имя пользователя?
где я предлагаю новое и, возможно, более простое решение вашей проблемы.

Дайте мне знать, если у вас возникнут дополнительные вопросы. знак равно

Я считаю, что DirectoryEntry имеет свойства, которые нужно указать для учетной записи AD, которая может выполнять запросы или обновления LDAP, вы также можете делегировать этот контроль из своего родительского домена.