使用 c# .NET 客户端连接或访问 Okta LDAP 接口

Question

我有一个使用 Okta LDAP 接口工具的客户端。我们有一个 LDAP v3 工具，可以连接 AD、Open LDAP 其他 LDAP v3 支持的服务器。

我们希望将 Okta LDAP 接口集成到我们的工具中，因为它兼容 LDAPv3。我们的代码基于.NET框架+C Sharp。

我们在使用 Okta LDAP 接口连接时面临一些问题/挑战。

目前我们使用微软提供的System.DirectoryServices by Microsoft库。但面临 LDAP 接口的问题。

对于 开始TLS/389

我收到错误：

不愿意表现。LDAP 错误代码 53

更多：无法建立安全连接。致管理员：此服务需要 TLS。LDAP

对于 SSL/636

错误：服务器无法运行。

var oktaLDAPPath = "LDAP://dev-506668.ldap.oktapreview.com:636/ou=users,dc=dev-506668,dc=oktapreview,dc=com";

        var un = "uid=*******,dc=dev-506668,dc=oktapreview,dc=com";

        var pass = "*******";

        var filter = "((objectClass=*))";

        try

        {

            using (var userDirectoryEntry = new DirectoryEntry(oktaLDAPPath, un, pass,AuthenticationTypes.SecureSocketsLayer))

            { 

                using (var directorySearcher = new DirectorySearcher(userDirectoryEntry, filter) { PageSize = 100 })

                {

                    directorySearcher.FindOne();

                }

            }

        }

        catch (DirectoryServicesCOMException dex)

        {

        }

        catch (Exception ex)

        {

        }

Answer 1

如果您在 上进行 DNS 查找dev-506668.ldap.oktapreview.com，它会为您提供CNAME结果op1-ldapi-fb96b0a1937080bd.elb.us-east-1.amazonaws.com。浏览器将使用 CNAME 的 IP 地址，但仍使用您最初提供的主机名发出请求。但是，由于某种原因，在启动 LDAP 连接时，Windows 使用 CNAME 来启动连接。换句话说，Windows 正在将请求更改LDAP://op1-ldapi-fb96b0a1937080bd.elb.us-east-1.amazonaws.com:636为. 但随后它收到具有该名称的 SSL 证书，*.ldap.oktapreview.com并且会出现恐慌，因为该证书与用于发出请求的名称不匹配 ( op1-ldapi-fb96b0a1937080bd.elb.us-east-1.amazonaws.com)。我使用 Wireshark 验证了所有这些，监控端口 636 上的流量。SSL Client Hello 使用op1-ldapi-fb96b0a1937080bd.elb.us-east-1.amazonaws.com而不是dev-506668.ldap.oktapreview.com.我不知道有什么方法可以让它不这样做。DirectoryEntry也无法覆盖它验证 SSL 证书的方式。LdapConnection确实如此，但使用它可能会有点困难。我从来没有用过它。（您可能应该自己进行一些true验证，而不仅仅是像该示例那样返回）。无论如何，这可能是您可以与 Okta 支持人员分享的内容。原答案：听起来您的计算机不信任服务器上使用的 SSL 证书。为了验证这一点，我使用 Chrome。你必须像这样启动 Chrome：chrome.exe --explicitly-allowed-ports=636然后你可以把它放在地址栏中：https://dev-506668.ldap.oktapreview.com:636如果证书不受信任，您将收到一个大错误。您可以单击“高级”按钮查看 Chrome 给出的不被信任的原因。但 Chrome 还允许您通过单击地址左侧地址栏中的“不安全”来检查证书，然后单击“证书”。它可能不被信任有几个原因：您使用的完全限定域名 ( dev-506668.ldap.oktapreview.com) 与证书上的内容不匹配。如果是这种情况，您也许只需更改用于匹配证书的域名即可。该证书不是由受信任的机构颁发的。它可以是自签名证书。如果是这种情况，那么当您查看证书时，您应该会看到一个“安装证书”按钮，您可以使用该按钮来明确信任该证书。

Answer 2

我最近遇到了这个问题，并指出了以下解决方案：添加以下注册表值，然后重新启动服务器并查看是否解决了问题。HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LDAP\UseHostnameAsAlias DWORD，将值设置为 1。