User.IsInRole("fake group") 导致“主域和可信域之间的信任关系失败”答案

【问题标题】：User.IsInRole("fake group") results in "The trust relationship between the primary domain and the trusted domain failed"User.IsInRole("fake group") 导致“主域和可信域之间的信任关系失败”
【发布时间】：2014-04-26 10:17:27
【问题描述】：

我有一个 MVC 3 应用，使用带有 WIF 4.5 声明的 Windows 身份验证。

对应用程序的访问（当前）通过 AD 组中的成员资格进行控制：

<deny users="?" />
<allow roles="domain\somegroup" />
<deny users="*" />

除了 AD 组之外，我们还有需要添加的自定义角色。（此应用正在从 Forms 转换为 Windows 身份验证）

为了支持这些自定义角色（直到它们在 AD 中进行管理），我们将它们作为 ClaimTypes.GroupSid 声明添加给用户，以便利用 [Authorize("ADMIN")] 和 User.IsInRole("ADMIN") 的现有代码继续运行：

Application_PostAuthenticateRequest(object sender, EventArgs e)
{
    var identity = ClaimsPrincipal.Current.Identity as WindowsIdentity;
    var roles = userDAL.GetRoles(identity.Name);
    foreach(var role in roles)
    {
        identity.AddClaim(new Claim(ClaimTypes.GroupSid, role));
    }
}

这一切都按预期工作。

除非当前用户不是某个自定义角色的成员（例如 ADMIN）并且该角色也不存在于 AD 中

我们在控制器操作方法上使用[Authorize("ADMIN")]，以及根据场景使用User.IsInRole("ADMIN") 的各种实例。在那些发生错误并且应用程序崩溃的情况下。

AD 基础架构正在进行升级/迁移。我不知道那里的所有细节，但我知道有一些域，据说它们之间存在信任，基础设施人员向我暗示这些信任关系已经建立并运行。

所以我真的想知道两件事：

这看起来真的不是我们的代码应该处理的事情。那么，域名到底有什么问题呢？我可以找出信任关系失败的“受信任”域吗？
解决此问题的最佳方法是什么？我不喜欢编写辅助方法和Authorize() 子类只是为了捕获此异常的想法。

【问题讨论】：

用于检查一个组是否真的存在，（这对我有帮助）stackoverflow.com/questions/14590744/…
我们遇到了同样的问题。感谢您的详细解释。

标签： active-directory windows-authentication trust isinrole

【解决方案1】：

如果您的受信任域配置不可用，则会发生这种情况，IsInRole 也会在受信任域中搜索组，如果受信任域不可用，则会引发信任豁免。

【讨论】：

【解决方案2】：

~~请进入inetmgr，站点，默认网站，站点名称，iis组，双击认证，禁用匿名认证，然后重置应用池。~~

当 Windows 无法破译在 web.config 文件中的“授权，允许角色”标签下定义的角色时，就会出现这种情况。用于测试注释掉 web.config 文件中的自定义角色标签。该问题似乎是在混淆 Forms 身份验证和 Windows 身份验证时引起的。魔术发生在 Global.asax 文件 Application_PostAuthenticateRequest 方法中，当使用 Forms 身份验证时，您可以将 User.Identity 转换为 FormsIdentity，然后从 FormsIdentity Ticket 创建自定义身份，然后从自定义身份创建自定义原则，然后您将能够将 CustomPrincipal 附加到当前用户和当前主体，即。

Dim fIdent As FormsIdentity = CType(User.Identity, FormsIdentity)
Dim ci As New CustomIdentity(fIdent.Ticket) 
Dim cp As New CustomPrincipal(ci)
HttpContext.Current.User = cp : Thread.CurrentPrincipal = cp

对于要启用表单身份验证和匿名身份验证的 IIS，应禁用其他所有功能。使用 Windows 身份验证时，Global.asax 文件 Application_PostAuthenticateRequest 方法可以直接从 User.Identity 创建自定义原则，即。

Dim cp As New CustomPrincipal(User.Identity)
HttpContext.Current.User = cp : Thread.CurrentPrincipal = cp

在这种情况下，IIS 设置应为 Windows 身份验证，启用 ASP.Net 模拟，禁用其他所有设置。

混淆这些身份验证方法会导致“主域和受信任域之间的信任关系失败”错误，因为如果您的 Application_PostAuthenticateRequest 方法由于某种原因没有实现 CustomPrinciple，那么 Windows 将尝试使用内置的 IsInRole根据域角色检查角色的函数，而不是使用自定义原则代码隐藏文件中的自定义 IsInRole。

这是一篇有用的文章和链接：

http://www.codeproject.com/Articles/8819/Authorize-and-authenticate-users-with-AD https://msdn.microsoft.com/en-us/library/ff647405.aspx
https://support.microsoft.com/en-us/kb/306359

【讨论】：