我可以模拟通过表单身份验证进行身份验证的客户端并建立与 SQL Server 的可信连接吗？

Question

这是我一直在尝试做的事情

构建一个具有表单身份验证和活动目录成员资格的 ASP.NET MVC 3 应用程序。 Web 服务器和数据库是不同的物理服务器，因此是双跳。

我认为答案是这篇关于约束委派和协议转换的旧文章？到目前为止，我还无法让这项技术发挥作用。

在生产设置中部署到 Windows 2008 (IIS7) 之前，我正在我的开发计算机（Windows 7、IIS7）上对 Web 服务器进行测试。 Windows 2008 会有所不同吗？

什么有效，什么失败

我可以使用表单身份验证和 AD 会员身份登录。这似乎运作良好。当我尝试使用此代码进行数据库调用时：

public void AsUser(Action action)
    {
        using (var id = new WindowsIdentity(User.Identity.Name + @"@example.com"))
        {
            WindowsImpersonationContext context = null;
            try
            {
                context = id.Impersonate();
                action.Invoke();
            }
            catch (Exception ex)
            {
                // ex.Message is The type initializer for System.Data.SqlClient.SqlConnection threw an exception
                // buried inner exeption is Requested registry access is not allowed
            }
            finally
            {
                if (context != null)
                {
                    context.Undo();
                }
            }
        }
    }

它失败并出现异常，导致我相信我的本地 DEV 服务器上存在设置问题。内部异常是不允许请求的注册表访问。

如果我设置断点并在 Impersonate() 调用后检查 WindowsIdentity，我会看到 ImpersonationLevel 设置为 Identification.这似乎表明它设置不正确。有人能证实吗？

我走在正确的轨道上吗？这是否可以设置？任何指示将不胜感激。

Answer 1

我认为你走在正确的道路上。您只需要对协议转换设置进行更多故障排除工作。

我假设您正确配置了 Active Directory 成员身份提供程序，以便可以使用 Active Directory 用户名和密码成功登录网页。如果情况并非如此，请忽略我的答案的其余部分:)

从我在您的问题中看到的情况来看，您使用 WindowsIdentity 的 S4USelf 获取了用户的令牌。然后，您使用 S4UProxy 将模拟令牌传递到 SQL Server。既然你说你只有 ImpersonationLevel.Identification ，这意味着你未能进行协议转换。

您需要了解，允许一台机器在域中进行协议转换是非常高的特权。授予服务器进行协议转换几乎意味着您信任该服务器几乎就像域控制器一样。你需要有意识地在 AD 中做出这个决定，让服务器具备这种能力，并且你必须是一个 domian 管理员才能做出这个改变。如果您还没有这样做，那么您可能没有正确设置您的东西。

有几件事需要检查。

首先，确保您选择了“仅信任此计算机以委派指定服务”，然后在服务帐户上选择“选择使用任何身份验证协议”。您可能想创建一个域帐户。 此处是有关如何为 ASP.NET 创建服务帐户的链接。请记住，您需要一个域帐户。创建域服务帐户后，请确保转到该帐户的委派选项卡并选择正确的选项。

其次，您需要确保 SPN 设置正确。我发现您发布的链接仅提及您的 ASP.NET 服务帐户的 SPN。实际上，您还需要确保 SQL Server 上的服务帐户也设置正确。否则，Windows 根本不会使用 Kerberos 身份验证。它将回退到使用 NTLM。在 SQL Server 上正确设置 SPN 有很多细节。您可以先查看此处，看看您是否有运气。根据我的经验，大多数 DBA 不知道如何正确设置它们。他们甚至没有意识到这一点，因为大多数应用程序都可以在 NTLM 下正常工作。您需要注意 SQL Server 服务帐户及其使用的端口号。

第三，您需要确保没有任何因素禁用您的 Kerberos 委派。一些敏感的AD帐户默认不允许被委托。例如，内置管理员帐户。因此，您最好使用其他一些普通用户帐户进行测试。

更新

我刚刚发现另一篇文章教你如何设置 ASP.NET 的协议转换。它提到您需要向 IIS 服务帐户授予 TCB 权限，以确保它可以创建 Impersonation 类型的 WindowsIdentity。你可以尝试一下。

Answer 2

这是我使用的类。此外，您还需要检查运行 AppPool 的进程是否有足够的权限来进行模拟，因为它是一项特权活动。我会向用户帐户提供应用程序池在临时管理员权限（当然仅限开发盒）下运行的用户帐户，并查看它是否有效，以便您知道这是否是权限问题。

public class ImpersonationHelper : IDisposable
    {
        private const int LOGON32_LOGON_INTERACTIVE = 2;
        private const int LOGON32_PROVIDER_DEFAULT = 0;
        private WindowsImpersonationContext _impersonationContext;
        private string _userName;
        private string _domain;
        private string _password;

        [DllImport("advapi32.dll")]
        public static extern int LogonUserA(String lpszUserName,
            String lpszDomain,
            String lpszPassword,
            int dwLogonType,
            int dwLogonProvider,
            ref IntPtr phToken);
        [DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
        public static extern int DuplicateToken(IntPtr hToken,
            int impersonationLevel,
            ref IntPtr hNewToken);

        [DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
        public static extern bool RevertToSelf();

        [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
        public static extern bool CloseHandle(IntPtr handle);

        public ImpersonationHelper(string domain, string userName, string password)
        {
            _userName = userName;
            _domain = domain;
            _password = password;
        }

        public void Start()
        {
            WindowsIdentity tempWindowsIdentity;
            IntPtr token = IntPtr.Zero;
            IntPtr tokenDuplicate = IntPtr.Zero;

            if (RevertToSelf())
            {
                if (LogonUserA(_userName, _domain, _password, LOGON32_LOGON_INTERACTIVE,
                    LOGON32_PROVIDER_DEFAULT, ref token) != 0)
                {
                    if (DuplicateToken(token, 2, ref tokenDuplicate) != 0)
                    {
                        tempWindowsIdentity = new WindowsIdentity(tokenDuplicate);
                        _impersonationContext = tempWindowsIdentity.Impersonate();
                        if (_impersonationContext != null)
                        {
                            CloseHandle(token);
                            CloseHandle(tokenDuplicate);
                        }
                    }
                }
            }
            if (token != IntPtr.Zero)
                CloseHandle(token);
            if (tokenDuplicate != IntPtr.Zero)
                CloseHandle(tokenDuplicate);
        }

        #region IDisposable Members

        void IDisposable.Dispose()
        {
            if (_impersonationContext != null)
            {
                _impersonationContext.Undo();
            }
        }

        #endregion
    }

Answer 3

您是否在 Windows 7 或 Windows 2008 计算机上启用了模拟？本文介绍如何设置它。 http://technet.microsoft.com/en-us /library/cc730708(WS.10).aspx。另外，你运行的是 32 位还是 64 位？

Answer 4

您还应该咨询您的 AD 管理部门，看看是否允许模拟。我公司的 AD 政策不允许冒充。

Answer 5

我认为你已经发现了这个问题，但没有人提到它。 “双跳”问题不允许您这样做。这是不可能的。有很多人写过关于它的文章，例如 斯科特·福赛思。

当您向 IIS 进行身份验证时
服务器使用集成
身份验证，这会耗尽您的
第一个“跳跃”。当 IIS 尝试访问时
一个网络设备，那就是
双跳或第二跳，这不是
允许。 IIS无法依次传递
这些凭证到下一个网络
设备，否则开发商或
管理员可能会滥用您的
凭证并以以下方式使用它们
网站访问者没有预料到。

匿名时不会出现这种情况
访问或关闭模拟
因为在这种情况下 IIS 会负责
对您进行身份验证，然后它使用
本地或网络的不同用户
使用权。这意味着应用程序池
身份或匿名用户可以制作
网络调用作为第一跳。

我认为很明显，除了第一次连接之外，您无法进一步传递您的凭据。