C# PrincipalContext 在 IIS 上没有用户名和密码

Question

我有一个 C# .NET 框架后端 API。我正在实施 AD 登录，但有一个问题，如果没有用户名和密码， PrincipalContext构造函数将无法工作，这不应该是这种情况。

有问题的行是：

 var principalContext = new PrincipalContext(
   ContextType.Domain, 
   System.Net.NetworkInformation.IPGlobalProperties.GetIPGlobalProperties().DomainName
 );

它在具有当前web.config文件的另一台计算机上工作正常，所以我猜测我的 IIS 设置不正确或权限不正确。

我在 VS2022 中以调试模式运行 API，本地 IIS，网站位于 IIS 中的Default Web Site内。

我的应用程序池标识设置为ApplicationPoolIdentity ，在身份验证中我只启用了匿名身份验证（我也只尝试了 Windows 身份验证和两者）。

我也注意到，这条线

System.Security.Principal.WindowsIdentity.GetCurrent().Name;

在它工作的计算机上返回domain\\username ，在我的计算机上返回iis apppool\\app pool name 。

另外，这是我的web.config文件供参考：

<system.web>
  <compilation debug="true" targetFramework="4.5.2" />
  <httpRuntime targetFramework="4.5.2" />
</system.web>
<!-- so only the Tokens controller uses Windows authentication and all others can use JWT tokens -->
<location path="Tokens"> 
  <system.webServer>
      <security>
          <authentication>
              <windowsAuthentication enabled="true" />
              <anonymousAuthentication enabled="false" />
          </authentication>
      </security>
  </system.webServer>
</location>
<system.webServer>
  <security>
    <authentication>
      <windowsAuthentication enabled="false" />
      <anonymousAuthentication enabled="true" />
    </authentication>
  </security>
  ...
</system.webServer>

Answer 1

您的本地主机上的问题应该是因为您的应用程序池使用本地系统标识引起的，您可以使用有权将信息检索到域 controller 的域用户更改它

如果您需要有关如何更改应用程序池身份的更多信息，请告诉我。

问候

杰瑞

Answer 2

如果您不传入用户名和密码，PrincipalContext 构造函数将使用运行应用程序池的帐户的凭据在 IIS 中托管 asp.net 应用程序以连接到 Active Directory。 ApplicationPoolIdentity 是应用程序池工作进程的专用伪用户帐户，建议您更改应用程序池标识。

LocalSystem - Local System 帐户拥有所有用户权限，并且是 Web 服务器上 Administrators 组的一部分。 尽可能避免使用本地系统帐户，因为它会给您的 web 服务器带来严重的安全风险。

NetworkService - 默认情况下，选择网络服务帐户。 它是 Users 组的成员，并具有运行应用程序所需的用户权限。 它可以使用计算机帐户凭据在基于 Active Directory 的网络中进行交互。 此帐户提供最大的安全性以防止可能试图接管 web 服务器的攻击。

LocalService - Local Service 帐户是 Users 组的成员，与 Network Service 帐户具有相同的用户权限，但仅限于本地计算机。 当您的应用程序池中的工作进程不需要访问它们运行的 web 服务器外部时，请使用此帐户。

建议您设置专用于 IIS 应用程序池的域服务帐户。

您需要先创建一个域服务帐户。

• 在管理工具下，打开 Active Directory 用户和计算机。
• 右键单击要分配此帐户的目录（即 testlab.com > 服务帐户）和 select 新建 > 用户。
• 为服务帐户添加名称和登录名。
• 单击下一步并输入密码。 清除用户必须在下次登录时更改密码。
• 在永不过期的密码或将您锁定在秘密服务器之外的帐户之间进行选择。
• 单击下一步，然后单击完成。

在 IIS 中分配应用程序池的标识。

• Select对应的应用程序池，右击select高级设置。
• 在 Process Model 部分中，select Identity 并单击省略号。
• Select 自定义账号，点击设置，输入您的服务账号名和密码，点击确定。

授予文件夹权限

• 为服务帐户授予对应用程序文件所在文件夹的修改和访问权限。