如何使用 SSPI 从 Kerberos 获取服务令牌

Question

目标： 我正在尝试构建概念验证客户端应用程序以使用 SSPI 实现单点登录。我是 C# 新手，我很困惑。

到目前为止我所知道和所做的： 所有用户都是 Active Directory 域的一部分，所以我知道 Kerberos 在登录期间用于身份验证。此时我需要做的就是从 Kerberos 获取服务令牌，这样我就可以将其传递给服务资源，而不是用户名和密码（如果我错了，请纠正我）。我已获得服务主体名称 (SPN) 和已在 Kerberos 中注册该服务的密码。

我希望不使用平台调用服务来调用 SSPI 函数，但如果必须的话我会这样做。我通读了“.NET Remoting Authentication and Authorization Sample - Part I”并使用Microsoft.Samples.Security.SSPI 进行测试。我也尝试过使用C#/.Net Interface To The Win32 SSPI Authentication API。

到目前为止，我可以获取用户/客户端凭据，构建客户端安全上下文。但是如何为给定的 SPN 请求服务票证？

感谢您的帮助和指导。如果可以，请具体说明，如果您有任何问题，请告诉我。

Answer 1

您可以在下方通过提供 SPN 来获取令牌

  public String getToken(string userName)
    {
     using (var domainContext = new PrincipalContext(ContextType.Domain, "domain"))
        {
          using (var foundUser = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, userName))
            {
                Console.WriteLine("User Principale name" + UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, userName).UserPrincipalName);
                string spn = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, userName).UserPrincipalName;
                KerberosSecurityTokenProvider k1 = new KerberosSecurityTokenProvider(spn, System.Security.Principal.TokenImpersonationLevel.Impersonation, new System.Net.NetworkCredential(userName, "password", "domain"));
                KerberosRequestorSecurityToken T1 = k1.GetToken(TimeSpan.FromMinutes(1)) as KerberosRequestorSecurityToken;
                string sret = Convert.ToBase64String(T1.GetRequest());
                Console.WriteLine("=====sret========" + sret);
                return sret;
            }
        }

    }

Answer 2

Hasanthi 提供的代码非常适合我的需要，我不必使用 SSPI。我问错了问题，但我学到了很多关于 Kerberos 和 SSPI 的知识。简而言之，这是我的代码：

AppDomain.CurrentDomain.SetPrincipalPolicy(System.Security.Principal.PrincipalPolicy.WindowsPrincipal);
var domain = Domain.GetCurrentDomain().ToString();

using (var domainContext = new PrincipalContext(ContextType.Domain, domain))
{
    string spn = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, serviceName).UserPrincipalName;
    KerberosSecurityTokenProvider tokenProvider = new KerberosSecurityTokenProvider(spn, System.Security.Principal.TokenImpersonationLevel.Impersonation, CredentialCache.DefaultNetworkCredentials);
    KerberosRequestorSecurityToken securityToken = tokenProvider.GetToken(TimeSpan.FromMinutes(1)) as KerberosRequestorSecurityToken;
    string serviceToken = Convert.ToBase64String(securityToken.GetRequest());
}