使用 Active Directory 组的 ASP .NET MVC 表单授权

Question

我正在尝试使用 ASP.NET MVC 中的用户和组对 Active Directory 进行身份验证。

我在我的所有类（除了帐户类）上都添加了以下属性：

[Authorize (Roles="SubcontractDB Users")]

此组位于活动目录中的 OU=Area->OU=Groups->OU=Company->CN=SubcontractDB 下。我假设我还需要在 web.config 中设置一个 RoleManager，我尝试如下操作：

<roleManager defaultProvider="ADRoleProvider">
  <providers>
    <clear />
        <add name="ADMembershipProvider" 
             type="System.Web.Security.ActiveDirectoryMembershipProvider" 
             connectionStringName="ADConnectionString" 
             attributeMapUsername="sAMAccountName" />
  </providers>
</roleManager>

我的连接字符串是：

    <add name="ADConnectionString" 
         connectionString="LDAP://blah.com:389/DC=blah,DC=wateva,DC=com"/>

显然我做错了，因为这不起作用。我想要做的就是允许访问属于 AD 中某个组的用户。

Answer 1

所以我最终实现了自己的授权属性并使用它：

namespace Application.Filters
{  
   public class AuthorizeADAttribute : AuthorizeAttribute
   {
      public string Groups { get; set; }

      protected override bool AuthorizeCore(HttpContextBase httpContext)
      {
         if (base.AuthorizeCore(httpContext))
         {
            /* Return true immediately if the authorization is not 
            locked down to any particular AD group */
            if (String.IsNullOrEmpty(Groups))
               return true;

            // Get the AD groups
            var groups = Groups.Split(',').ToList<string>();

            // Verify that the user is in the given AD group (if any)
            var context = new PrincipalContext(ContextType.Domain, "server");
            var userPrincipal = UserPrincipal.FindByIdentity(context, 
                                                 IdentityType.SamAccountName,
                                                 httpContext.User.Identity.Name);

            foreach (var group in groups)
               if (userPrincipal.IsMemberOf(context, IdentityType.Name, group))
                  return true;
         }
         return false;
      }
   }
}

然后我可以简单地使用上面的控制器或函数

Using Application.Filters;
...
[AuthorizeAD(Groups = "groupname")]

注意：您可以简单地使用 new PrincipalContext(ContextType.Domain);，但是 .NET 4.0 中有一个错误会在 userPrincpal.IsMemberOf(...) 处引发 (0x80005000) 错误。详情请见here。

如果您想知道如何根据授权失败重定向到另一个页面，请在此处查看我的答案：Adding an error message to the view model based on controller attribute in ASP.NET MVC

Answer 2

不再需要在 ASP.NET MVC 3 中为此功能实现您自己的属性。AspNetWindowsTokenRoleProvider 适用于 Active Directory 用户和组。要将此与 AuthorizeAttribute 一起使用，您需要将以下内容添加到您的 web.config：

<authentication mode="Windows" />

<roleManager enabled="true" defaultProvider="AspNetWindowsTokenRoleProvider">
   <providers>
      <clear />
      <add 
          name="AspNetWindowsTokenRoleProvider"
          type="System.Web.Security.WindowsTokenRoleProvider" 
          applicationName="/" />
   </providers>
</roleManager>

然后，在您的控制器或操作方法上，您可以像这样引用 Active Directory 组：

[Authorize(Roles = "YOURDOMAIN\\Group1, YOURDOMAIN\\Group2")]