首頁猿問了解WCF Windows身份驗(yàn)證

了解WCF Windows身份驗(yàn)證

C# .NET

Qyouu 2019-12-03 16:44:02

我有Windows身份驗(yàn)證服務(wù)。使用以下代碼，我可以獲得使用服務(wù)的用戶的Windows身份（通過使用客戶端）。String currentUser = OperationContext.Current.ServiceSecurityContext.WindowsIdentity.Name;服務(wù)器中的配置為：<binding name="messageSecurity"><security mode="Message"><message clientCredentialType="Windows"/></security></binding>我還閱讀了服務(wù)器中的內(nèi)容，它使用Kerberos來工作?，F(xiàn)在，我試圖了解其在我們公司網(wǎng)絡(luò)中的重要性。在辦公室中，用戶將使用其活動目錄憑據(jù)登錄到其桌面。我們的服務(wù)托管在名為“ SERV1”的Windows服務(wù)器中。僅具有（登錄）“ SERV1”訪問權(quán)限的用戶可以訪問該服務(wù)嗎？還是所有能夠登錄辦公室網(wǎng)絡(luò)（使用活動目錄憑據(jù)）的用戶都可以使用該服務(wù)？有沒有一種方法可以確保只有經(jīng)過CIO批準(zhǔn)的應(yīng)用程序才能訪問該服務(wù)，并使該服務(wù)保持Windows身份驗(yàn)證？是對每個服務(wù)操作調(diào)用還是僅對第一個調(diào)用進(jìn)行此身份驗(yàn)證檢查？服務(wù)有什么辦法可以知道用戶的Windows憑據(jù)？注意：我了解WindowsAuthentication可以與成員資格提供程序進(jìn)行比較-從集中位置提供用戶名和密碼?？梢詫⑵渑cASP.Net成員資格提供程序或Active Directory成員資格提供程序進(jìn)行比較

查看完整描述

2 回答

紅糖糍粑

TA貢獻(xiàn)1815條經(jīng)驗(yàn) 獲得超6個贊

只有有權(quán)訪問（登錄）“ SERV1”的用戶才能訪問該服務(wù)嗎？

是的-這就是在WCF服務(wù)中使用Windows憑據(jù)的關(guān)鍵。只有在該Active Directory域中擁有域帳戶（或與您的域具有雙向完全信任關(guān)系的單獨(dú)域）的用戶才能訪問該服務(wù)。

還是所有能夠登錄辦公室網(wǎng)絡(luò)（使用活動目錄憑據(jù)）的用戶都可以使用該服務(wù)？

WCF安全邊界是Active Directory域 -不是特定的服務(wù)器。

有沒有一種方法可以確保只有經(jīng)過CIO批準(zhǔn)的應(yīng)用程序才能訪問該服務(wù)，并使該服務(wù)保持Windows身份驗(yàn)證？

這些“經(jīng)CIO批準(zhǔn)”的應(yīng)用程序與其他應(yīng)用程序有何不同？WCF由帳戶（通常是用戶帳戶）訪問。您可以限制哪些帳戶可以訪問您的服務(wù)（例如，要求這些帳戶成為給定AD組的成員或其他內(nèi)容）。您不能真正基于應(yīng)用程序“限制”（僅當(dāng)那些應(yīng)用程序使用特定的應(yīng)用程序級帳戶訪問WCF服務(wù)時）

是對每個服務(wù)操作調(diào)用還是僅對第一個調(diào)用進(jìn)行此身份驗(yàn)證檢查？

取決于您的服務(wù)-如果您使用按呼叫的 WCF服務(wù)，則將針對每個呼叫進(jìn)行檢查。如果在啟用“安全協(xié)商”的情況下使用按會話的 WCF服務(wù)，則檢查將在會話開始時進(jìn)行一次，直到會話結(jié)束才進(jìn)行檢查。

服務(wù)有什么辦法可以知道用戶的Windows憑據(jù)？

是- OperationContext.Current.ServiceSecurityContext.WindowsIdentity 是用于調(diào)用服務(wù)的Windows憑據(jù)（Windows身份）。不僅僅是用戶名.....

反對回復(fù) 2019-12-03

慕蓋茨4494581

TA貢獻(xiàn)1850條經(jīng)驗(yàn) 獲得超11個贊

這不是身份驗(yàn)證任務(wù)，而是授權(quán)任務(wù)。Kerberos負(fù)責(zé)確保用戶通過身份驗(yàn)證（您獲得的名稱就是他們的真實(shí)姓名）。LDAP管理授權(quán)。在Windows上下文中，這意味著用戶應(yīng)該是某個允許訪問服務(wù)器材料組的成員（并且該服務(wù)必須檢查情況是否如此）。
應(yīng)用程序？并不是的。也就是說，Active Directory中有兩種經(jīng)過身份驗(yàn)證的主體：用戶和計(jì)算機(jī)。但是，如果正在運(yùn)行的用戶具有連接到服務(wù)的權(quán)限，那么為什么運(yùn)行什么應(yīng)用程序無關(guān)緊要？換句話說，您不能阻止某人使用他們自己的代碼來完全執(zhí)行您的代碼將要執(zhí)行的操作。
沒關(guān)系身份驗(yàn)證有效，不是嗎？實(shí)際情況是，正在向該應(yīng)用程序傳遞票證，以證明該用戶已通過身份驗(yàn)證（已向KDC，即活動目錄服務(wù)器）。
是的，從某種意義上講，安全性上下文是用戶的憑據(jù)集。他們可能還具有其他憑據(jù)，但是您也可以獲取這些憑據(jù)。