如何“取消冒充” （取消委托？）在 Kerberos 中

Question

我有一个使用 Kerberos 的 Web 应用程序来使用 ASP.NET 3.5 和 IIS 访问外部资源。

当用户连接到应用程序时，Kerberos 身份验证会自动允许我使用委派作为用户连接到外部资源。这并不容易做到。这很好，但我有一个问题。有时我需要使用比用户拥有更多权限的帐户连接到外部资源。应用程序池运行的服务帐户具有我需要的附加权限。如何删除用户的 Kerberos 标识并使用运行应用程序池的服务帐户与 Kerberos 连接？

更新

我不确定为什么我根本没有收到任何回复。我以前从未见过这样的情况。请发布问题，他们可能会澄清问题（对我来说也是如此）。

---

使用 Kerberos 并需要了解委派的概述？阅读此答案的第一部分：https://stackoverflow.com/a/19103747/215752。

Answer 1

我有一个类：

public class ProcessIdentityScope : IDisposable
{
    private System.Security.Principal.WindowsImpersonationContext _impersonationContext;
    private bool _disposed;

    public ProcessIdentityScope()
    {
        _impersonationContext = System.Security.Principal.WindowsIdentity.Impersonate(IntPtr.Zero);
    }

    #region IDisposable Members

    public void Dispose()
    {
        Dispose(true);
        GC.SuppressFinalize(this);
    }

    protected virtual void Dispose(bool disposing)
    {
        if (!_disposed)
        {
            _impersonationContext.Undo();
            _impersonationContext.Dispose();
            _disposed = true;
        }
        else
            throw new ObjectDisposedException("ProcessIdentityScope");
    }

    #endregion
}

我像这样使用它：

using(ProcessIdentityScope identityScope = new ProcessIdentityScope())
{
    // Any code in here runs under the Process Identity.
}

此代码基于此 MSDN 文章： http://msdn.microsoft.com/en-us/library/ms998351.aspx