Visualizzatore report SSRS + credenziali ASP.NET 401 Eccezione

Question

Ho un report salvato su un server di report SQL2005 e voglio restituire un PDF renderizzato di questo report. Ho capito questo quando si lavora con un file * .rdlc locale (and I've blogged about it), ma non quando il * .rdl risiede su un server di report. Sto ottenendo un 401 non autorizzato errore alla linea di ...

reportViewer.ServerReport.SetParameters(reportDefinition.ReportParameters); 

Ecco il metodo utilizzato per il rendering del report.

public byte[] Render(IReportDefinition reportDefinition) 
{ 
    var reportViewer = new ReportViewer(); 
    byte[] renderedReport; 
    try 
    { 
     var credentials = new WindowsImpersonationCredentials(); 
     reportViewer.ServerReport.ReportServerUrl = new Uri("http://myssrsbox", UrlKind.Absolute); 
     reportViewer.ServerReport.ReportServerCredentials = credentials; 
     reportViewer.ServerReport.ReportPath = reportDefinition.Path; 
     // Exception is thrown on the following line... 
     reportViewer.ServerReport.SetParameters(reportDefinition.ReportParameters); 

     string mimeType; 
     string encoding; 
     string filenameExtension; 
     string[] streams; 
     Warning[] warnings; 

     renderedReport = reportViewer.ServerReport.Render(reportDefinition.OutputType, reportDefinition.DeviceInfo, out mimeType, out encoding, out filenameExtension, out streams, out warnings); 
    } 
    catch (Exception ex) 
    { 
     // log the error... 
     throw; 
    } 
    finally 
    { 
     reportViewer.Dispose(); 
    } 
    return renderedReport; 
} 

L'altra cosa che ti manca è la classe WindowsImpersonationCredentials.

public class WindowsImpersonationCredentials : IReportServerCredentials 
{ 
    public bool GetFormsCredentials(out Cookie authCookie, out string userName, out string password, out string authority) 
    { 
     authCookie = null; 
     userName = password = authority = null; 
     return false; 
    } 

    public WindowsIdentity ImpersonationUser 
    { 
     get { return WindowsIdentity.GetCurrent(); } 
    } 

    public ICredentials NetworkCredentials 
    { 
     get { return null; } 
    } 

    public override string ToString() 
    { 
     return String.Format("WindowsIdentity: {0} ({1})", this.ImpersonationUser.Name, this.ImpersonationUser.User.Value); 
    } 
} 

Altre cose potrebbe essere necessario sapere ...

• Questo è in esecuzione su una rete Intranet, e rappresentazione è attivata.
• La registrazione indica che l'utente di rappresentazione è stato impostato correttamente.
• Questo funziona durante l'esecuzione in Visual Studio (http://localhost:devport), ed è funziona quando si esegue sulla mia casella di sviluppo (http://localhost/myApplication). È non funziona quando è in esecuzione sui nostri server di test o di produzione.
• Ho provato soluzioni con e senza impostazioni system.net.defaultProxy in web.config. Nessuno dei due ha funzionato.

Cosa sto sbagliando? È un'impostazione del server? È un codice? È web.config?

Answer 1

Abbiamo finalmente capito il problema. I nostri amministratori di rete hanno disabilitato il doppio salto, quindi mentre la rappresentazione si collegava correttamente come domain\jmeyer, l'applicazione stava ancora tentando di connettersi alla casella SRS con domain\web01$. Perché è impostato in questo modo? Perché il doppio salto è un enorme buco di sicurezza. (O almeno così mi è stato detto. Questo suona come qualcosa che avrebbe letto sul The Daily WTF?)

La nostra soluzione era quella di creare un generico domain\ssrs_report_services utente, e connettersi con l'utente con le seguenti credenziali di rete

public class CustomCredentials : IReportServerCredentials 
{ 
    public bool GetFormsCredentials(out Cookie authCookie, out string userName, out string password, out string authority) 
    { 
     authCookie = null; 
     userName = password = authority = null; 
     return false; 
    } 

    public WindowsIdentity ImpersonationUser 
    { 
     get { return null; } 
    } 

    public ICredentials NetworkCredentials 
    { 
     get { return new NetworkCredential("ssrs_report_services", "password", "domain") ; } 
    }  
} 

Quanto sopra è la classica soluzione di esempio che puoi trovare su tutti i canali.

Answer 2

"Double Hopping" è consentito - swith autenticazione Kerberos ... (finché funziona correttamente!)