使用双跳 Windows 身份验证连接到 Microsoft Analysis Services 多维数据集

Question

我正在尝试对 Web 服务器上的 .Net 应用程序的用户强制执行 Windows 身份验证，以访问 SSAS 上 Microsoft Analysis Services 数据库上的多维数据集，并且只是为了让它工作而发疯！

我在 web.config 中使用<identity impersonate="true" />。在 IIS 中关闭匿名访问并选择集成 Windows 身份验证。 appPool 以指定的身份运行；在 Active Directory 中已被授予“帐户受信任委派”的单独 Windows 帐户。我还让网络人员在 Web 服务器上为这个身份创建和注册一个 SPN。尝试访问 .Net 应用程序的用户没有在其 AD 帐户上选择“帐户敏感且无法委派”。

如果用户从 Web 服务器本地访问 .Net 应用程序，它工作正常，但是当从客户端的 PC 访问 .Net 应用程序时，他们会收到错误：“传输层遇到错误”“对等方过早地关闭了连接”。使用 SQL Profiler 进行跟踪，我可以看到尝试验证失败的 NTUserName 是匿名登录。

为什么不委托用户的身份验证？？

解决方案：

如here 所述，在 SSAS 服务器上为 OLAP 服务注册 SPN 已修复此问题！即 Setspn.exe -A MSOLAPSvc.3/Servername mydomain\theuser.

Answer 1

听起来您的 Web 应用程序并没有真正获取他们的身份和/或将其传递给 .NET 应用程序。你可以设置一个测试页面来验证它是否正在获取他们的 Windows ID？

编辑：这篇文章可能会有所帮助：http://www.eggheadcafe.com/articles/20050703.asp

尝试设置一个空白的 debug.aspx 页面，在代码后面的代码中说：

private void Page_Load(object sender, System.EventArgs e)
{
    Response.Write("Page Identity: " + Page.User.Identity.Name);
    Response.Write("Windows Identity: " + System.Security.Principal.WindowsIdentity.GetCurrent().Name);
    Response.Write("Thread Identity: " + System.Threading.Thread.CurrentPrincipal.Identity.Name);
}   

从客户端 PC 上点击该页面，这将帮助您了解该网页的实际运行情况。该文章可能会帮助您解决如何解决问题。