C# ldap 创建本地/域用户抛出访问被拒绝错误

Question

需要使用基于 Web 的应用程序创建新的本地/域用户。

我使用 System.DirectoryServices 和 System.DirectoryServices.AccountManagement 命名空间来实现它。

因此，如果我使用 Visual Studio (2012) 运行应用程序，一切都会顺利（用户被添加到活动目录中！）。

但是，如果我在 IIS 中托管该网站并尝试执行相同的操作，它会抛出一条错误消息，指出“访问被拒绝”。 我做了一项研究，也发现了原因 - 发生这种情况是因为应用程序池身份设置为仅具有用户权限的用户。 但是由于安全原因，具有管理权限的用户不能作为应用程序中的应用程序池身份。

那么，有没有其他方法可以绕过此应用程序池身份并允许用户成功创建本地/域用户。

等待宝贵的回复/建议。

Answer 1

创建具有提升权限的单独应用程序池，并使用移动需要提升访问权限的功能。这可以通过具有被防火墙阻止从外部访问的端口绑定来限制从外部使用。

1. 创建一个以具有提升权限的用户身份运行的 Windows 服务。可以使用队列异步访问该服务。
2. 将所有这些与提升权限相关的功能移至 AppPool 以提升权限运行的新服务器，并按照步骤 1 进行操作。请勿将此服务器暴露于互联网流量，以避免任何误用。