如何通过 REST 和 Windows 身份验证在 WCF 服务中使用计算机名称

Question

我们正在开发许多托管在 IIS 中的 WCF 服务。 （IIS 6.0 在 Windows Server 2003 SP2 上运行）。这些服务是针对 REST 设置的。对于环境（DEV、CERT、PROD），我们通常每个 IIS 服务器都有许多服务。每个服务都有自己的登录帐户，该帐户是通过应用程序池分配的。

这工作正常，但如果我们在虚拟目录上启用 Windows 身份验证（以允许用户上下文传递，而不是模拟或委派），我们会在特定情况下遇到安全错误。如果我们使用 ServiceEndpoint 连接到 C# 代码中的服务，它可以工作，但是当我们通过浏览器或非 Wcf 代码（例如 HttpWebRequest、java 等）连接到服务时，我们会收到安全错误。

如果我将 IIS 中的身份验证从“协商、NTLM”更改为“仅 NTLM”，那么它就可以工作。 事实上，我们正在禁用 Kerberos，并且由于这些服务与网络中的其他服务器通信，我们开始遇到服务无法连接到远程服务器（通常是 SQL Server）的其他问题。

现在奇怪的部分是，如果我们给机器一个 DNS 别名（CNAME 记录）并使用带有别名的 URL，它就可以工作。 例如，

http://dnsalias/service/myservice.svc/foo WORKS!
but
http://machinename/service/myservice.svc/foo  FAILS :(

我们无法为所有这些机器提供 DNS 别名（这是我们目前的解决方案），因为我们开始广泛使用虚拟机并上下旋转它们。所以我们只有机器名称，我们不想在机器启动时开始编写 DNS 别名脚本。

现在我知道了 SPN 问题，但是，由于我们在同一网站（通常是默认网站）上托管了多个服务，因此我们只能为每个服务器/帐户创建 1 个服务主体名称。由于我们每个服务器托管多个服务，每个服务映射到自己的帐户，因此这不是一个解决方案。

setspn -a HTTP//WCFServer.domain.com customDomainAccount

另一个问题是，我们不在配置文件中定义端点，仅在代码中定义端点，这里是获取 REST 绑定的代码。

protected internal static Binding GetWebHttpBinding()
        {
            // Create a new binding with Authentication enabled
            var binding = new WebHttpBinding(WebHttpSecurityMode.TransportCredentialOnly);

            // Set defaults
            SetTimeouts(binding);
            SetReaderQuotas(binding.ReaderQuotas);
            binding.MaxReceivedMessageSize = MaxReceivedMessageSize;
            binding.MaxBufferSize = 65536;

            // Set the Credential type to Windows to allow single sign-on
            binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Windows;

            // Need Streamed Response since Transport security does not allow streamed requests
            binding.TransferMode = TransferMode.StreamedResponse;

            return binding;
        }

Answer 1

好吧，很久以后，我带着答案回来了。对于所描述的环境，唯一的答案是使用 NTLM 身份验证。致电 Microsoft 支持人员已证实这一点。

Answer 2

我了解到机器名称​​已经是一个 DNS 条目。机器的原始名称/或查找实际上是它的 IP 地址。因此，当您在 url 中声明“machinename”不起作用时，这不是已经是一个 DNS 条目了吗？如果您 p​​ing 'machinename'，显示响应 ping 的 IP 是什么？那应该是机器的IP。

对我来说，这听起来像是您正在为 DNS 查找创建 DNS 查找。你能澄清一下吗？

我可以确认，当我在域上进行 DNS 查找以查找我正在使用的 WCF 服务或站点的 IP 时，奇迹也会发生在我身上，所以我知道您来自哪里。

我不知道您的客户端代码是什么样的，但请查看以下链接以进行匹配。在调用 RESTful 服务之前，您必须建立网络凭证。如果这样做，是否可以解决必须禁用 kerberos 的另一个问题？

Answer 3

我在集成 Windows 身份验证和 WebHttpBinding 尝试利用 WebHttpSecurityMode.TransportCredentialOnly 时也遇到了类似的“安全错误”。但需要 SSL，所以我能够坚持使用 WebHttpSecurityMode.Transport > 同时还配置 HttpClientCredentialType.Windows。