为什么IIS中的Windows /集成身份验证不会将用户凭据传递给SSRS和SQL？

Question

问题 ：在ASP.NET 4.0中，我使用SSRS 2005服务器的ReportService2005.asmx Web服务来获取报告列表。 同样在.NET中，我使用Entity Framework与我的MS-SQL 2005数据库进行通信。 当我使用Visual Studio Development Server作为我的Web服务器时，对SSRS和SQL的调用工作正常。 但是，当我切换到IIS 5.1时，SSRS和实体代码都会产生错误。 我在IIS中仅使用Windows /集成身份验证。

错误 ：对于SSRS，我收到The request failed with HTTP status 401: Unauthorized.

对于Entity Framework，我Login failed for user ''. The user is not associated with a trusted SQL Server connection. Login failed for user ''. The user is not associated with a trusted SQL Server connection.

尝试的解决方案 ：在Web.Config中，我添加了<identity impersonate="true" />并修复了实体框架错误，但没有修复SSRS错误。 我扩展了identity参考以包含我的用户名和密码，并修复了所有错误。

问题 ：为什么指定我的用户名和密码来修复错误，为什么SQL说我没有指定用户名（ '' ）？ 我以为Windows身份验证会自动模仿当前用户。 如何在不将“服务”帐户硬编码到web.config中的情况下解决此问题？

Answer 1

Windows或集成身份验证意味着使用Windows凭据（或令牌）标识用户，但这并不意味着该请求在该用户下运行。 ASP.NET运行时将在工作进程（App Pool）标识下执行请求，除非您将其配置为模拟其他一些标识。

因此，当您使用开发服务器访问该站点时，服务器以您的身份运行，因此以您的身份访问SSRS和Sql Server并且它可以正常运行。

在IIS下加载站点时，ASP.NET请求将在为应用程序池配置的任何标识下运行。 通常，此标识是本地用户，因此将拒绝访问SSRS或Sql Server等网络资源。 添加<identity impersonate="true" username="your name" ../> ，ASP.NET将以您的身份运行请求，这应该适用于SSRS和Sql Server。

这里的奇怪案例是<identity impersonate="true" /> - 在此设置下，ASP.NET将模拟当前经过身份验证的Windows身份。 但是，为了使其正常工作，您在集成身份验证上配置了IIS和ASP.NET，并拒绝匿名访问（在ASP.NET和IIS中）。 如果不这样做，可能会导致无法验证当前用户的身份，并且请求将以匿名用户的身份（在IIS中配置）运行。 如果您在IIS中标记了集成身份验证，但在ASP.NET中没有标记，则身份将不会传递给ASP.NET请求。 您需要检查您的环境以查看您遇到的确切方案，但最终结果是您的ASP.NET请求在可以访问SQL Server而不是SSRS的凭据下运行。

Answer 2

您还需要了解“双跃点”问题 - 这意味着您的凭据只能使用两次。

如果您使用Windows身份验证和模拟访问网站，该网站可以像您一样呼叫其他服务。 如果该其他服务是另一个网站（即Reporting Services），而该网站又调用另一个服务（例如数据库），则它无法再次传递您的凭据。 这意味着如果数据库需要来自用户的凭据，则会抛出错误。