autenticazione

Question

impersonare utilizzando i moduli che hanno un sito ASP.NET che deve utilizzare autenticazione basata su form e non autenticazione di Windows per accedere a un ActiveDirectoryMembershipProvider. Il sito deve utilizzare i moduli perché richiedono un modulo di input progettato anziché il popup di autenticazione del browser utilizzato dall'autenticazione di Windows.

il sito deve rappresentare l'utente connesso tramite Active Directory per accedere ai file specifici dell'utente.

Tuttavia, il WindowsIdentity.GetCurrent() non è lo stesso del HttpContext.Current.User.Identity anche se il mio web.config contiene:

<authentication mode="Forms"> 
    <forms loginUrl="login.aspx" timeout="480"/> 
</authentication> 
<identity impersonate="true" /> 

non posso usare LoginUser() e la WindowsIdentity.Impersonate() perché ho bisogno di impersonare l'utente AD per ottenere le loro autorizzazioni specifiche , e non so la password dell'utente, perché le forme si prende cura di login.

e 'possibile forse dalle login.aspx.cs, a prendere il System.Web.UI.WebControls.Login.Password, quindi salvare il LoginUser() gettone in una variabile di sessione per WindowsIdentity.Impersonate() dopo? O forse un metodo molto più sicuro di impersonare nel modo giusto?

Sono confuso perché autenticazione basata su form non può automaticamente <identity impersonate="true" />

ho letto questo http://msdn.microsoft.com/en-us/library/ms998351.aspx ma utilizza l'autenticazione di Windows.

Answer 1

rappresentazione di un utente utilizzando i moduli di autenticazione può essere fatto. Il seguente codice funziona.

Il Visual Studio Magazine article indicato da Robert è una risorsa eccellente. Ci sono alcuni problemi con il codice di esempio nell'articolo, quindi ho incluso del codice funzionante di seguito.

Nota: se si utilizza Visual Studio, assicurarsi di avviarlo "Esegui come amministratore" per evitare problemi con la rappresentazione del blocco del controllo dell'account utente.

// in your login page (hook up to OnAuthenticate event) 
protected void LoginControl_Authenticate(object sender, AuthenticateEventArgs e) 
{ 
    int token; 
    // replace "YOURDOMAIN" with your actual domain name 
    e.Authenticated = LogonUser(LoginUser.UserName,"YOURDOMAIN",LoginUser.Password,8,0,out token); 
    if (e.Authenticated) { 
     Session.Add("principal", new WindowsPrincipal(new WindowsIdentity(new IntPtr(token)))); 
    } 
} 

[DllImport("advapi32.dll", SetLastError = true)] 
public static extern bool LogonUser(string lpszUsername, string lpszDomain, string lpszPassword, 
    int dwLogonType, int dwLogonProvider, out int TokenHandle); 


// in global.asax.cs 
void Application_PreRequestHandlerExecute(object send, EventArgs e) 
{ 
    if (Thread.CurrentPrincipal.Identity.IsAuthenticated == true && HttpContext.Current.Session != null) { 
     WindowsPrincipal windowsPrincipal = (WindowsPrincipal)Session["principal"]; 
     Session["principal"] = (GenericPrincipal)Thread.CurrentPrincipal; 
     Thread.CurrentPrincipal = windowsPrincipal; 
     HttpContext.Current.User = windowsPrincipal; 
     HttpContext.Current.Items["identity"] = ((WindowsIdentity)windowsPrincipal.Identity).Impersonate(); 
    } 
} 

// in global.asax.cs 
void Application_PostRequestHandlerExecute(object send, EventArgs e) 
{ 
    if (HttpContext.Current.Session != null && Session["principal"] as GenericPrincipal != null) { 
     GenericPrincipal genericPrincipal = (GenericPrincipal)Session["principal"]; 
     Session["principal"] = (WindowsPrincipal)Thread.CurrentPrincipal; 
     Thread.CurrentPrincipal = genericPrincipal; 
     HttpContext.Current.User = genericPrincipal; 
     ((WindowsImpersonationContext)HttpContext.Current.Items["identity"]).Undo(); 
    } 
} 

// test that impersonation is working (add this and an Asp:Label to a test page) 
protected void Page_Load(object sender, EventArgs e) 
{ 
    try { 
     // replace YOURSERVER and YOURDB with your actual server and database names 
     string connstring = "data source=YOURSERVER;initial catalog=YOURDB;integrated security=True"; 
     using (SqlConnection conn = new SqlConnection(connstring)) { 
      conn.Open(); 
      SqlCommand cmd = new SqlCommand("SELECT SUSER_NAME()", conn); 
      using (SqlDataReader rdr = cmd.ExecuteReader()) { 
       rdr.Read(); 
       Label1.Text = "SUSER_NAME() = " + rdr.GetString(0); 
      } 
     } 
    } 
    catch { 
    } 
} 

Aggiornamento:

Si dovrebbe anche gestire Application_EndRequest, perché chiamate come Response.End() saranno bypassare Application_PostRequestHandlerExecute.

Un altro problema è che WindowsIdentity può ottenere la raccolta dei dati inutili, pertanto è necessario creare un nuovo WindowsIdentity e WindowsPrincipal dal token di accesso su ogni richiesta.

Update2:

non sono sicuro perché questo è sempre downvoted, perché funziona. Ho aggiunto la firma pinvoke e un codice di prova. Ancora una volta, avviare Visual Studio utilizzando "Esegui come amministratore". Google come farlo se non sai come.

Answer 2

Se gli utenti utilizzano IE, è possibile attivare la protezione integrata per il sito Web e gli utenti verranno autenticati automaticamente (nessuna finestra di accesso, nessuna pagina di accesso). La tua imitazione funzionerà quindi. Se devi scegliere come target altri browser, questo potrebbe non funzionare (probabilmente all'utente verrà presentata una finestra di accesso).

tua rappresentazione attuale non funzionerà mai perché i vostri utenti accedono utilizzando un account diverso dal loro account di dominio. Non puoi pretendere che il sito impersonifichi un utente che non ha fornito le sue credenziali. Ciò andrebbe contro i principi di sicurezza di base.

Answer 3

Potete trovare questo utile:

• how to create a login screen that allows Admin users to log in as another user in the user database

EDIT

Leggendo la tua domanda più da vicino, non sono sicuro se questo approccio potrebbe funzionare con il vostro scenario però ; quando effettui l'accesso utilizzando l'autenticazione basata su form e impersonate l'utente di Active Directory

Answer 4

Abbiamo avuto lo stesso problema di recente, il cliente voleva che gli utenti possano accedere tramite l'account AD e quindi questa credenziale deve essere utilizzata per accedere a Analysis Service e tutti gli altri database . Lo hanno voluto in questo modo perché hanno implementato un sistema di auditing e tutti gli accessi devono essere effettuati dall'account loggato corrente.

Abbiamo provato l'autenticazione basata su form e l'API LogonUser() Win32 per impersonare la parte, ha funzionato ma ci chiede anche la password dell'utente come testo normale. In seguito, abbiamo deciso di utilizzare l'autenticazione di Windows, ci fa risparmiare molto tempo (non più autenticazione AD, impersonare manualmente). Naturalmente, non c'era nemmeno una pagina di accesso di fantasia.

Answer 5

In Visual Studio installare NuGet Aprire la soluzione

Poi nel pacchetto console run-Install Package 51Degrees.mobi

Sarà quindi aggiungere 51Degrees al tuo sito web. È quindi possibile modificare 51Degrees.mobi.config nei dati dell'app per rimuovere la sezione di reindirizzamento.

A questo punto avere fino a data funzionalità del browser

Answer 6

Per ogni evenienza, e un po 'tardi, ho trovato qualcosa che funziona per me ed è davvero semplice, ma, naturalmente, è solo a scopo di test ...

Basta impostare un cookie con il tuo username.

//Login button. You can give whatever input to the form 
protected void Login_Click(object sender, EventArgs e) 
{ 
    FormsAuthentication.SetAuthCookie("your_username", createPersistentCookie: true); 
    Response.Redirect("~/"); 
} 

Qualsiasi commento accettata ...