无需 Kerberos 的 WCF 自定义委派/身份验证
我正在构建一个简单的 WCF 服务，可能通过 HTTPS 公开，使用 NTLM 安全性。由于并非所有用户都能够直接使用该服务，因此我们正在为该服务编写一个简单的 Web 前端。用户将使用 HTML 向 Web 前端进行身份验证。
我们想要的是一种将网站用户一直委托给 WCF 服务的方法。我知道 Kerberos 委托可以做到这一点，但我们无法做到这一点。
我想要做的是让Web前端帐户成为一个特别受信任的帐户，这样，如果请求命中身份验证为“DOMAIN\WebApp”的WCF服务，我们会读取包含真实身份的WCF消息头，然后切换主体并照常继续。
有没有任何“简单”的方法来实现这一目标？我是否应该完全放弃这个想法，而是让用户“登录”WCF 应用程序，然后进行完整的自定义身份验证？
WCF 的可扩展性和安全性选项似乎如此广泛，我想了解一下从哪条道路开始。
编辑：可以肯定的是，我只希望 WindowsIdentity 进行组成员身份检查。我不需要完整的模拟令牌，只需要身份令牌。
I'm building a simple WCF service, probably exposed via HTTPS, using NTLM security. Since not all users are going to be capable of using the service directly, we're writing a simple web front-end for the service. Users will auth with HTML to the web front-end.
What we want is a way to delegate the user of the web site all the way to the WCF service. I understand Kerberos delegation can do this, but that's not available to us.
What I want to do is make the web front-end account a specially trusted account, so that if a request hits the WCF service authenticated as "DOMAIN\WebApp", we read a WCF message header containing the real identity, then switch the principal to that and continue as normal.
Is there any "simple" way of achieving this? Should I give up entirely on this idea, and instead make users "sign-in" to the WCF app and then do complete custom auth?
The WCF extensibility and security options seem so vast, I'd like to get a heads up on which path to start heading down.
Edit: To be sure, I only want the WindowsIdentity to do group membership checks. I don't need a full impersonation token, just an identity token.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论