SSRS 报告查看器 + ASP.NET 凭据 401 异常

Question

我在 SQL2005 报告服务器上保存了一份报告，我想返回该报告的渲染 PDF。我在使用本地 *.rdlc 文件时发现了这一点（并且我已在博客中介绍过它），但当 *.rdl 驻留在报告服务器上时则不然。我在线路中收到 401 Not Authorized 错误...

reportViewer.ServerReport.SetParameters(reportDefinition.ReportParameters);

这是用于呈现报告的方法。

public byte[] Render(IReportDefinition reportDefinition)
{
    var reportViewer = new ReportViewer();
    byte[] renderedReport;
    try
    {
        var credentials = new WindowsImpersonationCredentials();
        reportViewer.ServerReport.ReportServerUrl = new Uri("http://myssrsbox", UrlKind.Absolute);
        reportViewer.ServerReport.ReportServerCredentials = credentials;
        reportViewer.ServerReport.ReportPath = reportDefinition.Path;
        // Exception is thrown on the following line...
        reportViewer.ServerReport.SetParameters(reportDefinition.ReportParameters);

        string mimeType;
        string encoding;
        string filenameExtension;
        string[] streams;
        Warning[] warnings;

        renderedReport = reportViewer.ServerReport.Render(reportDefinition.OutputType, reportDefinition.DeviceInfo, out mimeType, out encoding, out filenameExtension, out streams, out warnings);
    }
    catch (Exception ex)
    {
        // log the error...
        throw;
    }
    finally
    {
        reportViewer.Dispose();
    }
    return renderedReport;
}

您缺少的另一件事是 WindowsImpersonationCredentials 类。

public class WindowsImpersonationCredentials : IReportServerCredentials
{
    public bool GetFormsCredentials(out Cookie authCookie, out string userName, out string password, out string authority)
    {
        authCookie = null;
        userName = password = authority = null;
        return false;
    }

    public WindowsIdentity ImpersonationUser
    {
        get { return WindowsIdentity.GetCurrent(); }
    }

    public ICredentials NetworkCredentials
    {
        get { return null; }
    }

    public override string ToString()
    {
        return String.Format("WindowsIdentity: {0} ({1})", this.ImpersonationUser.Name, this.ImpersonationUser.User.Value);
    }
}

您可能需要了解的其他事项...

• 这是在 Intranet 上运行，并且模拟已打开。
• 日志记录表明模拟用户设置正确。
• 在 Visual Studio (http://localhost:devport) 中运行时有效，在我的开发盒上运行时有效 ( http://localhost/myApplication）。在我们的测试或生产服务器上运行时它不起作用。
• 我尝试过在 web.config 中使用和不使用 system.net.defaultProxy 设置的解决方案。两者都不起作用。

我做错了什么？是服务器设置吗？是代码吗？是 web.config 吗？

Answer 1

我们终于弄清楚了问题所在。我们的网络管理员已禁用双跳，因此虽然模拟已正确连接为 domain\jmeyer，但应用程序仍在尝试使用 domain\web01$ 连接到 SRS 框>。为什么要这样设置呢？因为双跳是一个巨大的安全漏洞。 （至少有人告诉我。这听起来像您在 The Daily WTF 上读到的东西吗？）

我们的解决方案是创建通用 domain\ssrs_report_services 用户，并使用以下网络凭据与该用户连接

public class CustomCredentials : IReportServerCredentials
{
    public bool GetFormsCredentials(out Cookie authCookie, out string userName, out string password, out string authority)
    {
        authCookie = null;
        userName = password = authority = null;
        return false;
    }

    public WindowsIdentity ImpersonationUser
    {
        get { return null; }
    }

    public ICredentials NetworkCredentials
    {
        get { return new NetworkCredential("ssrs_report_services", "password", "domain") ; }
    }    
}

以上是您可以在 Internet 上找到的经典示例解决方案。

Answer 2

允许“双跳” - 切换 Kerberos 身份验证...（只要它正常工作！）