使用Windows身份验证定义AD服务器

Question

我们正在开发一个网络应用程序，使我们可以编辑数据库中的数据。 由于应该可以从外部访问此应用程序，因此我们决定将其放在我们的DMZ服务器之一上。 为了对所有访问此服务的用户进行集中控制，我们决定使用Windows身份验证。 但是，由于DMZ服务器不是我们本地LAN中Active Directory的成员，所以这还行不通（获取“ 401-未经授权：访问由于凭据无效而被拒绝。”）。

我试图指定LDAP-ConnectionString，如此处所述ASP.NET MVC：如何为LDAP身份验证设置web.config？ 。 但这行不通。 我猜想，此配置并非设计用于Windows身份验证（ <authentication mode="Windows"/> ）。 即使我在本地计算机上对其进行了测试并输入了错误的凭据，它也会对我进行身份验证。 所以我的猜测是，该配置已被完全忽略。

<connectionStrings>
    <add name="ADConnectionString" connectionString="LDAP://<IP of AD-Server>/DC=<DomainName>"/>
</connectionStrings>
<system.web>
[...]
<authentication mode="Windows"/>
<authorization>
  <deny users="?" />
</authorization>
<membership defaultProvider="ADMembershipProvider" >
  <providers>
    <clear/>
    <add name="ADMembershipProvider" type="System.Web.Security.ActiveDirectoryMembershipProvider" 
         connectionStringName="ADConnectionString"
         connectionUsername="<Domain>\<LDAP-Reader-User>"
         connectionPassword="<LDAP-Reader-Password>"/>
  </providers>
</membership>

为确保问题不在于LDAP通信，我进行了LDAP-Query-Test。 DMZ服务器实际上能够发送LDAP查询。 我测试了以下内容，并获得了肯定的结果（通过提供错误的密码获得了否定的结果）

public bool TestPrincipalContext()
{
    PrincipalContext c = new PrincipalContext(ContextType.Domain, "<IP of AD-Server>", "<LDAP-Reader-User>", "<LDAP-Reader-Password>");
    return c.ValidateCredentials(Request.Form["username"], Request.Form["password"]);
}

题：

我正在寻找的是一个配置或一个“ custom-security-provider”，可以在其中指定LDAP服务器并使用Windows身份验证的所有内置功能。 这可能吗？ 我该怎么做？

Answer 1

免责声明

这可能对所有人没有帮助，可能不是最干净的方法，但这对我有所帮助。

为了解释为什么我选择这种方法，在以下情况下：

• 基本上，我们只想通过检查某个组的成员身份（使用[Authorize]和User.IsInRole ）来检查给定用户是否有权访问某些元素。 而且我们要在一个地方（AD）管理所有用户

• 我们的时限很短，这不允许我们花费太多时间来寻找最佳方法。

• 我们已经知道我们将使用什么AD服务器以及如何对待将有权访问上述服务的用户。 此外，用户无法自行注册，因此总体上我们可以控制谁有权访问我们的资源。

• 我们希望将运行服务的数量保持在尽可能低的水平，并且由于ADFS对我们来说是一项额外的服务，因此我们在寻找替代方案。

• 由于“安全管理”依赖于FormsAuthentication（Cookie加密），因此我们认为它是安全的。 另外，我们创建了一个服务用户，该用户仅具有读取LDAP的权限。

如果您有安全问题，更好的解决方案或仅是建议，请随时添加评论/答案。

快速概述

我最终创建了一个自定义“ SecurityProvider”。 我受到https://support.microsoft.com/zh-CN/help/316748/how-to-authenticate-against-the-active-directory-by-using-forms-authen的启发，该文档描述了使用FormsAuthentication和.aspx。

基本上，它在Global.asax的Application_AuthenticateRequest -Method中设置用户（ HttpContext.User ）。 这是通过使用解密的Cookie来完成的，该Cookie在PrincipalContext和FormsAuthentication的帮助下在登录中设置。

海关负责人

由于UserPrincipal不实现IPrincipal ，因此我制作了一个名为CustomPrincipal的包装，该包装实现了IPrincipal并将UserPrincipal作为属性。 这样，我可以从PrincipalContext检索UserPrincipal ，并将其用作User（ HttpContext.User ）。

Application_AuthenticateRequest

在这里，我通过检查cookie来检查用户是否登录，如果是，则解密cookie以获取用户名，创建所需的CustomPrincipal -object并将其设置为User。

登录

在登录时，它将使用给定的用户名和密码，并使用PrincipalContext来检查给定的凭据是否有效（ PrincipalContext.ValidateCredentials(username, password) ）。 如果是，则生成包含用户名的加密cookie。

登出

注销仅使“ Auth” -Cookie过期。 就那么简单...