IIS中的集成Windows身份验证导致ADO.NET故障

Question

我们有一个在IIS下运行的.NET 3.5 Web服务（ 不是 WCF）。 它必须使用identity impersonate="true"和集成Windows身份验证才能对第三方软件进行身份验证。 此外，它使用ADO.NET和SQL Server身份验证（在连接字符串中指定固定的用户ID和密码）连接到SQL Server数据库。

在数据库从SQL Server A移至SQL Server B之前，一切工作正常。（两者均与Web服务器都不相同。）然后，Web Service将引发以下异常：

建立与SQL Server的连接时发生与网络相关或特定于实例的错误。 服务器未找到或无法访问。 验证实例名称正确，并且已将SQL Server配置为允许远程连接。 （提供者：命名管道提供程序，错误：40-无法打开与SQL Server的连接）

仅当Web.config中的模拟身份为true时， 才会发生此错误。

同样，连接字符串没有更改，它指定了用户。 我已经测试了连接字符串，并且该字符串在模拟帐户和服务帐户下均有效（并且来自远程计算机和服务器）。

要使它与模拟一起工作需要更改什么？

编辑：

雷木斯·鲁萨努（Remus Rusanu）向我们指出了正确的方向。 归结为Kerberos-未为新服务器设置SPN。 另请参阅通过kerberos集成的Windows身份验证到sql server的asp.net 。 谢谢！

Answer 1

当使用模拟并访问其他主机上的资源时，将发生委派（外行称为“两跳”）。 由于默认情况下限制了委派，因此除非明确启用了约束委派，否则身份验证将失败。

但是，您说，等等，我使用SQL身份验证，而SQL身份验证不是NTLM / Kerberos的“资源”。 真正说我，但是你也可以使用命名管道和命名管道是一个NTLM / Kerberos的资源，因此代表团不会发生。

请参阅“ 如何：配置客户端协议以确保SQL Server正在侦听TCP”和“ 配置客户端网络协议”，以了解如何强制客户端选择特定协议（即，不首先尝试命名管道）。 您还可以通过在连接字符串中的服务器名称之前简单地附加tcp:来强制执行TCP。

Answer 2

您在Web服务本身中使用模拟吗？

Web服务中的模拟与IIS在不同的层上运行。 要从客户端访问Web服务，即使启用了匿名模式，也可以关闭identity = impersonate并从ServiceSecurityContext获取用户令牌。

要在Web服务中模拟该令牌，请从ServiceSecurityContext获取WindowsCredential并在using语句中调用credential.Impersonate（）方法，将与数据库的连接放置在using块内。

public class HelloService : IHelloService
{
    [OperationBehavior]
    public string Hello(string message)
    {
        WindowsIdentity callerWindowsIdentity =
        ServiceSecurityContext.Current.WindowsIdentity;
        if (callerWindowsIdentity == null)
        {
            throw new InvalidOperationException
           ("The caller cannot be mapped to a WindowsIdentity");
        }
        using (callerWindowsIdentity.Impersonate())
        {
            // Access a file as the caller.
        }
        return "Hello";
    }
}

另外，如果您在此过程中需要另一条腿（即后端服务在另一台服务器上），则将需要使用“委派”来传播凭据。 您也可以声明性地执行此操作。 有关完整的详细信息，请参见本文： http : //msdn.microsoft.com/zh-cn/library/ms730088.aspx

Answer 3

由于它在SQL Server位于同一盒子上时可以工作，因此可以将其连接到事务。

可能是它正在尝试使用MSDTC，并且模拟的用户缺少某些权限。

您可以尝试做的另一件事是使用您要模拟的用户登录Web服务器，然后查看是否可以连接到sql服务器。

Answer 4

如果委托是您的问题，请参阅本文以启用受约束的委托http://msdn.microsoft.com/zh-cn/library/ms730088.aspx

转到最底端以查看如何为受限委派设置帐户。 我知道它是WCF文章，但是设置帐户以使用委派的过程应该相同。

有关更多详细信息，请访问此处http://technet.microsoft.com/zh-cn/library/cc739587(WS.10).aspx

或者，如Remus所述，让您的SQL Server启用TCP访问并以这种方式访问​​它。