如何使用 WindowsIdentity 和 SQL Server 集成安全设置表单身份验证

Question

这是我们当前的设置。我们配置了 Active Directory（域名为 mis1）来处理我们所有的身份验证问题。我们为 impersonation=true 设置了 Web 应用程序，以便我们可以在用户登录时调用数据库查询。对于这个特定的应用程序，IIS 设置为匿名访问，我们可以进行表单身份验证。

为了我们的数据库安全，我们在数据库服务器上设置了本地组，并根据应用程序的需要将用户添加到这些组中。例如，对于同一个 FancyPants 应用程序，我们将有一个“FancyPantsManager”组和一个“FancyPantsUser”组。然后我们设置 SQL Server 2005 登录以映射到服务器上的这些本地组。

我想做的是为用户提供一个登录页面，该页面通过 AD 进行身份验证，然后如果成功，则转到数据库服务器以获取他们的角色（通​​过调用 xp_logininfo）以存储在用户的会话中。

到目前为止，我通过对 avapi32.dll 文件中的 LogonUser 方法执行 p/Invoke 成功地验证了 Active Directory 的表单身份验证。然后，我获取生成的令牌并生成一个 WindowsIdentity 对象并模拟用户。代码如下所示：

Private Sub loginMain_Authenticate _
               (ByVal sender As Object, _
                ByVal e As System.Web.UI.WebControls.AuthenticateEventArgs) _
        Handles loginMain2.Authenticate

   ' Assume variables properly declared

   IsAuthenticated = LogonUser(UserName, LOGON_DOMAIN, UserPass, 
                               LOGON_TYPE, LOGON_PROVIDER, ResultToken)

   If IsAuthenticated

      ' Setup impersonation for validated user.
      WindowsId = New WindowsIdentity(ResultToken)
      IdentContext = WindowsId.Impersonate()

      ' Call stored procedure to retrieve roles using validated user for login.
      GetUserRoles(UserName)

   End If

End Sub

当我单步调试调试器并输入正确的 ID 和密码时。我通过了身份验证，查看生成的 WindowsIdentity 对象，它指出我的 ID 是“mis1\c07884”，这正是模拟访问 SQL Server 所需要的。但是，当调用 GetRoles 方法时，我收到以下错误消息：

System.Data.SqlClient.SqlException: Could not obtain information 
about Windows NT group/user 'c07884', error code 0xffff0002.

在我看来，模拟过程中出现了一些错误。我错过了什么？

Answer 1

关注这个问题可能会有所帮助？ Active Directory: Retrieving User Information

Answer 2

已编辑以删除不相关的内容。

xp_logininfo。看起来您调用它时将帐户名作为不带域的用户名传递给它。这实际上解释了为什么错误消息说c07884 not found 而不是mis1\c07884 not found。错误 0xFFFF002 可能是错误 2 ERROR_FILE_NOT_FOUND。

目前最快的解决方法可能是传递正确的帐户名称：

GetUserRoles(string.Format("{0}\\{1}"), LOGON_DOMAIN, UserName));

您应该考虑重写过程以通过不带参数调用x_logininfo 来检索模拟 用户信息以返回当前用户的信息。更好的是，只需 SELECT * FROM sys.login_token。

如果您在 ASP 中只需要组成员身份，那么您已经在 WindowsIdentity.Groups 中拥有它。