ASP.Net application web en essayant d'utiliser l'emprunt d'identité et de la Délégation à se connecter à SQL Server

Pas - il n'est pas exact de dire que vous avez besoin de Kerberos, un nom principal de service, de faire confiance au serveur pour la délégation, et que c'est la SEULE façon de le faire. Oui, c'est une façon de le faire (et vous avez besoin de tout cela pour le faire via Kerberos), mais il n'est pas le SEUL moyen, ou même techniquement le plus sûr moyen ou la manière la plus simple. Voulez-vous vraiment avoir à faire des configurations supplémentaires et de créer un compte de connexion pour chaque utilisateur web à votre base de données dans SQL? Que faire si l'un de ces comptes est-il compromis? Plus de comptes, plus de vulnérabilités.

Pas, créer un compte de service de Domaine, au lieu de cela, et de laisser l'accès SQL. Si votre sécurité gars de verrouiller les choses, de donner à l'utilisateur les droits suivants: ouverture de session en tant que service, ouvrez une session en tant que tâche, et d'Autoriser l'ouverture de session localement. Ou, si c'est juste pour développer et tester la théorie ou vous ne se soucient pas ou ne pouvez pas trouver les paramètres ou encore les erreurs plus tard, et ce ne pourriez pas obtenir une grande suite, mais il donner à l'Administrateur local (parfois, tu dois faire ce que tu dois faire - certains professionnels de l'informatique sécurité verrouiller les choses plus serré que je ne le soin d'écrire à propos - peut toujours dépanner de sécurité plus tard pour le verrouiller en arrière vers le bas). Ensuite définir ce compte comme compte personnalisé sur l'application de la piscine et de donner à ce compte de connexion SQL. Donner dbo sur UNE seule base de données.

Sur le site web dans IIS, définir le type d'authentification de Windows. Je les ai vu dire "de Base" dans d'autres blogs afin de Kerberos fonctionne, mais NTLM utilise l'authentification Windows. Dans IIS 7, vous pouvez également activer ASP .NET de l'emprunt d'identité. Personnellement, je ne l'ai essayé sur IIS 6, mais le principal est le même.

Dans le web.config, ajouter ce sous <configuration>, qui est un "pair" à <system.web>:

<connectionStrings>
  <add 
     name="NorthwindConnectionString" 
     connectionString="Data Source=serverName;Initial 
     Catalog=Northwind;Integrated Security=SSPI;User 
     ID=userName;Password=password"
     providerName="System.Data.SqlClient"
  />
</connectionStrings>

Et dans <system.web>:

<authentication mode="Windows"/> 
<identity impersonate="true"
      userName="domain\user" 
      password="password" />

Alors lisez la chaîne dans votre application comme ceci:

using System.Configuration;

string connString = String.Empty;
if (ConfigurationManager.ConnectionStrings.ConnectionStrings.Count > 0)
{
    connString = ConfigurationManager.ConnectionStrings["NorthwindConnectionString"].ConnectionString; 
    if (connString != null) //do DB connection stuff here
        Console.WriteLine("Northwind connection string = \"{0}\"",
        connString.ConnectionString);
    else
        Console.WriteLine("No Northwind connection string");
}

Voir http://msdn.microsoft.com/en-us/library/ms178411.aspx.

Si elle ne peut pas se connecter avec le compte de service après le remplissage en compte dans le web.config pour emprunter l'identité de la balise et de la connexion SQL, vous pouvez utiliser l'emprunt d'identité à l'aide de méthodes WindowsImpersonationContext (http://msdn.microsoft.com/en-us/library/system.security.principal.windowsimpersonationcontext.aspx). Plus précisément, vous voulez wic.Usurper l'identité d'() et wic.Annuler() après l'obtention de leur jeton. Vous pouvez le lire dans le compte de service de domaine, le nom et le mot de passe à partir du web.config, sous la forme de AppKeys.

En bref, il ya des façons de contourner les problèmes. Vous pouvez même crypter le mot de passe dans le web.config - à la fois dans la propriété ConnectionString, et si vous souhaitez le stocker dans un AppKey, plutôt que directement dans le "emprunter l'identité" de la balise, si vous ne voulez pas de texte en clair des mots de passe (que je déconseille), et donc vous pouvez l'avoir pour la création d'un jeton de Connexion, si vous avez besoin d'utiliser l'emprunt d'identité méthodes (comme je l'ai fait).

OriginalL'auteur vapcguy