WCF 和 Kerberos 身份验证

Question

我遵循了大量的 msdn 文章和 codeplex 指南，但无法让 WCF 与 Kerberos 身份验证和委派一起使用，并且希望得到一些帮助。

安装

我在远程计算机上的 IIS 网站中拥有 WCF 服务

• Windows 2003 R2 - SP 2 上的 IIS 6.0
• 已添加该计算机的 SPN (http/myserver && http/myserver: 8080)
• 已为 IIS 应用程序池创建 AD 帐户
• AD 帐户具有设置，允许委派（对于 Kerberos），设置为 true

我正在使用 Brian Booth 在 8080 上的调试站点 并且该站点通过了 Kerberos 委派的所有要求。调试 IIS 站点已关闭匿名身份验证，并打开集成 Windows 身份验证。

我已将这些设置镜像到托管 WCF 服务的站点。

Web 服务 - Web 配置（原始）

<system.serviceModel>
    <bindings>
        <wsHttpBinding>
            <binding name="WsHttpBindingConfig">
                <security>
                    <message negotiateServiceCredential="true" />
                </security>
            </binding>
        </wsHttpBinding>
    </bindings> 
    <services>
        <service behaviorConfiguration="ServiceBehavior" name="Service">    
            <endpoint address="" 
                binding="wsHttpBinding" 
                bindingConfiguration="WsHttpBindingConfig" 
                contract="IService">    
                <identity>    
                    <servicePrincipalName value="http/myserver" />    
                    <dns value="" />    
                </identity>    
            </endpoint>    
            <endpoint address="mex" 
                binding="mexHttpBinding" 
                contract="IMetadataExchange" />    
        </service>    
    </services>    
    <behaviors>    
        <serviceBehaviors>    
            <behavior name="ServiceBehavior">    
                <serviceMetadata httpGetEnabled="true"/>    
                <serviceDebug includeExceptionDetailInFaults="true"/>    
                <serviceAuthorization 
                    impersonateCallerForAllOperations="true" />    
            </behavior>    
        </serviceBehaviors>    
    </behaviors>    
</system.serviceModel>

Web 服务 - Web 方法

[OperationBehavior(Impersonation = ImpersonationOption.Required)]
public string GetCurrentUserName()
{
    string name = WindowsIdentity.GetCurrent().Name;
    return name;
}

客户端应用程序 - 应用程序配置

<system.serviceModel>
    <bindings>
        <wsHttpBinding>
            <binding name="WSHttpBinding_IService" 
                ... />
                ...
                <security mode="Message">
                    <transport clientCredentialType="Windows" 
                        proxyCredentialType="None" 
                        realm="" />
                    <message clientCredentialType="Windows" 
                        negotiateServiceCredential="true"
                        algorithmSuite="Default" 
                        establishSecurityContext="true" />
                </security>
            </binding>
        </wsHttpBinding>
    </bindings>
    <client>
        <endpoint address="http://myserver/Service.svc" 
            binding="wsHttpBinding" 
            bindingConfiguration="WSHttpBinding_IService"
            contract="KerberosService.IService" 
            name="WSHttpBinding_IService">
            <identity>
                <servicePrincipalName value="http/myserver" />
            </identity>
        </endpoint>
     </client>
</system.serviceModel>

应用程序错误

以下内容当我的测试应用程序（WinForms 应用程序）尝试调用 Web 方法时发生错误：

“HTTP 请求未经授权 客户端认证方案 '匿名的'。身份验证标头 从服务器收到的是 ‘谈判，NTLM’。”

事件日志

事件日志中存在以下错误：

异常： System.ServiceModel.ServiceActivationException： 服务“/Service.svc”不能 由于期间异常而激活 汇编。异常消息 是：此服务的安全设置 需要“匿名”身份验证，但是 没有为 IIS 启用它 托管此服务的应用程序。

我不明白。该服务的重点是不允许匿名身份验证，每个用户/请求都必须使用 Kerberos 票证进行身份验证，然后将它们传递到其他计算机。

我应该如何配置此 WCF 服务以进行 Kerberos 身份验证和委派？

修订版 1

阅读这个问题后我删除了元数据端点。这并没有解决问题。

修订版 2

经过更多研究，我发现一些帖子建议将 wsHttpBinding 更改为 basicHttpBinding。下面包含了对 web.config 的该部分的修改，并且服务端点已更新为引用该绑定。

Web 服务 - Web 配置（修订版）

<basicHttpBinding>
    <binding name="basicBindingConfig">
        <security mode="TransportCredentialOnly">
            <transport clientCredentialType="Windows" 
                proxyCredentialType="Windows" 
                realm="" />
        </security>
    </binding>
</basicHttpBinding>

客户端应用程序 - 应用程序配置（修订版）

<!-- ... -->
<security mode="TransportCredentialOnly">
    <transport clientCredentialType="Windows" 
        proxyCredentialType="Windows"
        realm="" />
    <message clientCredentialType="UserName" 
        algorithmSuite="Default" />
</security>
<!-- ... -->

错误（修订版）

当前错误看起来包含 Kerberos身份验证标头。

HTTP 请求未经授权 客户端认证方案 '谈判'。身份验证标头 从服务器收到的是 '在这里协商一些巨大的钥匙

Answer 1

对我来说，当前设置确实有效：

在服务器上：

<system.serviceModel>
  <bindings>
    <wsHttpBinding>
      <binding name="wsHttpBindingConf" useDefaultWebProxy="true"/>
    </wsHttpBinding>
  </bindings>

  <services>
    <service behaviorConfiguration="returnFaults" name="Epze.BusinessLayer.ZeitManager">
        <endpoint binding="wsHttpBinding" bindingConfiguration="wsHttpBindingConf" contract="Epze.Contract.IZeitManager"/>
        <endpoint address="mex" binding="mexHttpBinding" contract="IMetadataExchange"/>
    </service>
  </services>

  <behaviors>
    <serviceBehaviors>
        <behavior name="returnFaults">
            <serviceMetadata httpGetEnabled="true"/>
            <serviceDebug includeExceptionDetailInFaults="true"/>
            <serviceAuthorization impersonateCallerForAllOperations="true"/>
        </behavior>
    </serviceBehaviors>
  </behaviors>
</system.serviceModel>

在 WCF 的所有方法上设置以下属性：

[OperationBehavior(Impersonation = ImpersonationOption.Required)]

在客户端上：

<system.serviceModel>
  <bindings>
    <wsHttpBinding>
        <binding name="WSHttpBinding_IZeitManager" closeTimeout="00:01:00" openTimeout="00:01:00" receiveTimeout="00:10:00" sendTimeout="00:01:00" bypassProxyOnLocal="false" transactionFlow="false" hostNameComparisonMode="StrongWildcard" maxBufferPoolSize="524288" maxReceivedMessageSize="65536" messageEncoding="Text" textEncoding="utf-8" useDefaultWebProxy="true" allowCookies="false">
            <readerQuotas maxDepth="32" maxStringContentLength="8192" maxArrayLength="16384" maxBytesPerRead="4096" maxNameTableCharCount="16384"/>
            <reliableSession ordered="true" inactivityTimeout="00:10:00" enabled="false"/>
            <security mode="Message">
                <transport clientCredentialType="Windows" proxyCredentialType="None" realm=""/>
                <message clientCredentialType="Windows" negotiateServiceCredential="true" algorithmSuite="Default" establishSecurityContext="true"/>
            </security>
        </binding>
    </wsHttpBinding>
  </bindings>

  <behaviors>
    <endpointBehaviors>
        <behavior name="Delegation">
        <clientCredentials>
            <windows allowedImpersonationLevel="Delegation" />
        </clientCredentials>
        </behavior>
    </endpointBehaviors>
  </behaviors>        

  <client>
    <endpoint address="http://server.mydomain.net/ePZEsvc/ZeitManager.svc" binding="wsHttpBinding" bindingConfiguration="WSHttpBinding_IZeitManager" 
              contract="External.Epze.IZeitManager" name="WSHttpBinding_IZeitManager" behaviorConfiguration="Delegation">
        <identity>
            <servicePrincipalName value="HOST/localhost"/>
        </identity>                      
    </endpoint>
  </client>
</system.serviceModel>

HTH、Sven

Answer 2

我注意到的一件事：客户端和服务器配置似乎在安全模式上不一致。

在原始部分中，web.config 中有 ..... （省略了 mode="message"），并且 在客户端。

编辑后，客户端似乎没有更改，但服务器 (web.config) 现在包含 。

真正的问题是：您能否保证客户端和被调用的服务器之间只有一条网络线路？即，这是在公司防火墙后面吗？在这种情况下，我建议在两端使用 绑定 netTcp。

如果情况并非如此，那么您可以使用 wsHttpBinding （它支持更多安全性和可靠性功能，但速度较慢且“较重”）或 basicHttpBinding。在这种情况下，您必须在两端使用 ，并使用证书对服务进行身份验证（以便服务和客户端拥有共同的“秘密”）用于加密）。

我会尝试从一开始就忽略模拟部分，而只是首先启动并运行服务和客户端之间的基本通信和相互身份验证 - 一旦到位，您就可以开始向其中添加模拟位，并且您始终可以依靠可行的已知配置。

大卫·萨克斯坦有一个 一系列精彩的博客文章解释了行业大师 Juval Lowy 确定的五种安全场景（在他的 Programming WCF 书 - WCF 圣经）是最常见和最有用的 - 为了限制您可能想要调整的参数的可能组合的数量。其中之一是“互联网”场景，如果您的服务是面向外部的，则可能适用于此。

马克

Answer 3

您需要在客户端配置中指定behaviorConfiguration。 SVCUtil 不会自动生成。这解决了我的问题，我现在可以成功使用 Kerberos。但这是一个使命！

<client>           
    <endpoint address="..."               
    binding="customBinding" bindingConfiguration="..."               
    contract="..." name="..."  behaviorConfiguration="ImpersonationBehavior" />                 
    </client>         
    <behaviors>
         <endpointBehaviors>            
         <behavior name="ImpersonationBehavior">               
              <clientCredentials>                 
              <windows allowedImpersonationLevel="Impersonation"/>                      </clientCredentials>             
    </behavior>                       
    </endpointBehaviors>                   
    </behaviors> 

Answer 4

您应该尝试初始配置，并确保同时将 IIS 设置为匿名和 Windows 身份验证。原因是当您使用 wsHttpBinding 时，默认安全性是消息安全性，并且没有定义传输安全性，除非您想要执行 https 。 SO Clr 声明它需要在 IIS 上打开匿名身份验证。