Auf Mitgliedschaft einer Windows-Sicherheitsgruppe prüfen

Beschreibung:

Dieses Snippet überprüft, ob der aktuelle Benutzer Mitglied einer bestimmten Windows-Sicherheitsgruppe ist. Es spielt dabei keine Rolle, ob es sich um eine lokale, oder eine Active Directory-Gruppe handelt.
Eine solche Prüfung ist z.B. sehr nützlich, wenn eine Methode nur von Mitgliedern der Gruppe "CompanyXY\Geschäftsleitung" ausgeführt werden darf. Man müsste schon das Windows-Sicherheitssystem umgehen, um an dieser Prüfung vorbeizukommen.

/// <summary>
/// Prüft, ob der aktuelle Windows-Benutzer Mitglied in einer bestimmten Windows-Sicherheitsgruppe ist.
/// </summary>
/// <param name="groupName">Name der Windows-Sicherheitsgruppe (Format: "Domain\Group")</param>
/// <returns>Wahr, wenn der benutzer Mitglied der Gruppe ist, ansonsten Falsch</returns>
public static bool IsCurrentUserInWindowsGroup(string groupName)
{
    // Aktuellen Windows-Benutzer ermitteln
    System.Security.Principal.WindowsIdentity identity = System.Security.Principal.WindowsIdentity.GetCurrent();

    // Wenn der Benutzer nicht authentifiziert ist ...
    if (!identity.IsAuthenticated)
        // Sicherheits-Ausnahme werfen
        throw new System.Security.SecurityException("Benutzer wurde nicht ordnungsgemäß authentifiziert.");

    // Prinzipal-Objekt zur Sicherheitsprüfung des Windows-Benutzers erzeugen
    System.Security.Principal.WindowsPrincipal principal = new System.Security.Principal.WindowsPrincipal(identity);

    // Wahr zurückgeben, wenn der Benutzer Mitglied in der angegebenen Sicherheitsgruppe ist, ansonsten Falsch.
    return principal.IsInRole(groupName);
}

Schlagwörter: Security, Sicherheit, Windows-Sicherheit, Identity, Windows-gruppe, Security-Group, Active Directory, Rollenprüfung

Quelle: .NET-Snippets

Danke für das Snippet aber eine Frage habe ich dazu.

Wenn ich unter Page_Load folgendes einbaue:

if (IsCurrentUserInWindowsGroup("GPF-VW-0000-OfficeKonfiguration") == true) {
     zeig die Seite an
}
else {
     zeig die seite nicht an
}

..wird mir die Seite trotzdem angezeigt, obwohl ich nicht in dieser Gruppe bin 😉
Ist die Abfrage falsch definiert?

Hallo sKILLeSS,

zuerst einmal solltest Du das "== true" weglassen, das ist unnötig. Da Du von Page_Load sprichst, gehe ich davon aus, dass es sich um eine ASP.NET-Anwendung handelt. Da ist Windows-Authentifizierung nicht standardmäßig aktiv. Das musst Du entsprechend im IIS und in der Web.config einstellen. Außerdem läuft eine ASP.NET-Seite standardmäßig immer unter dem Benutzerknoto des IIS-Anwendungspools der Webseite (z.B. Konto NETZWERKDIENST oder ein speuzielles Domänen-Konto). Damit die ASP.NET-Seite die Identität des Aufrufers vom Browser übernimmt, musst Du in der Web.config Impersonation aktivieren. Für ASP.NET gibt es aber auch noch andere und möglicherweise bessere Alternativen für die Rechteprüfung: Sicherheit für ASP.NET-Webanwendungen