Konfigurace ověřování systému Windows v ASP.NET Core

Scott Addie

Ověřování systému Windows využívá operační systém k ověřování uživatelů aplikací ASP.NET Core. Ověřování systému Windows můžete použít, pokud server běží na podnikové síti pomocí identit domény služby Active Directory nebo účtů systému Windows k identifikaci uživatelů. Ověřování systému Windows je nejvhodnější pro intranetová prostředí, kde uživatelé, klientské aplikace a webové servery patří do stejné domény systému Windows.

Scénáře proxy a nástroje pro vyrovnávání zatížení

Ověřování systému Windows je stavový scénář primárně používaný v intranetu, kde proxy server nebo nástroj pro vyrovnávání zatížení obvykle nezpracovává přenos mezi klienty a servery. Pokud se používá proxy server nebo nástroj pro vyrovnávání zatížení, funguje ověřování systému Windows pouze v případě, že proxy server nebo nástroj pro vyrovnávání zatížení:

• Zpracovává ověřování.
• Předá do aplikace informace o ověřování uživatele (například v hlavičce požadavku), která funguje na ověřovacích informacích.

Alternativou k ověřování Windows v prostředích, kde se používají proxy a služby Vyrovnávání zatížení, je služba AD FS (Active Directory federovaných služeb) se službou OpenID Connect (OIDC).

Služba IIS/IIS Express

Přidejte ověřovací služby vyvoláním AddAuthentication ( Microsoft.AspNetCore.Server.IISIntegration namespace) v Startup.ConfigureServices :

services.AddAuthentication(IISDefaults.AuthenticationScheme);

Nastavení spuštění (ladicí program)

Konfigurace pro nastavení spuštění má vliv pouze na vlastnosti/launchSettings.jsv souboru pro IIS Express a NEKONFIGURUJE službu IIS pro ověřování systému Windows. Konfigurace serveru je vysvětlena v části IIS .

Šablona webové aplikace , která je k dispozici prostřednictvím sady Visual Studio, nebo .NET Core CLI lze nakonfigurovat pro podporu ověřování systému Windows, která automaticky aktualizuje vlastnosti/launchSettings.jsv souboru.

"iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
        "applicationUrl": "http://localhost:52171/",
        "sslPort": 44308
    }
}

dotnet new webapp --auth Windows

"iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
        "applicationUrl": "http://localhost:52171/",
        "sslPort": 44308
    }
}

Při úpravách existujícího projektu potvrďte, že soubor projektu obsahuje odkaz na balíček pro Microsoft. AspNetCore. app Metapackage nebo balíček NuGet Microsoft. AspNetCore. Authentication .

IIS

Služba IIS používá modul ASP.NET Core k hostování ASP.NET Corech aplikací. Ověřování systému Windows je konfigurováno pro službu IIS prostřednictvím souboru web.config . Následující části ukazují, jak:

• Zadejte místní web.config soubor, který aktivuje ověřování systému Windows na serveru při nasazení aplikace.
• Pomocí Správce služby IIS nakonfigurujte web.config soubor aplikace ASP.NET Core, která už je nasazená na serveru.

Pokud jste to ještě neudělali, povolte službě IIS hostování aplikací ASP.NET Core. Další informace naleznete v tématu hostování ASP.NET Core v Windows se službou IIS.

Povolte službu role IIS pro ověřování systému Windows. Další informace najdete v tématu Povolení ověřování systému Windows v rolích služby IIS (viz krok 2).

Služba IIS Integration middleware je nakonfigurována pro automatické ověřování požadavků ve výchozím nastavení. Další informace najdete v tématu hostitelská ASP.NET Core ve Windows se službou IIS: možnosti služby IIS (AutomaticAuthentication).

Modul ASP.NET Core je nakonfigurován tak, aby ve výchozím nastavení předal token ověřování systému Windows do aplikace. Další informace najdete v tématu Referenční příručka konfigurace modulu ASP.NET Core: atributy elementu aspNetCore.

Použijte některý z následujících přístupů:

• Před publikováním a nasazením projektu přidejte následující soubor web.config do kořenového adresáře projektu:

  <?xml version="1.0" encoding="utf-8"?>
  <configuration>
    <location path="." inheritInChildApplications="false">
      <system.webServer>
        <security>
          <authentication>
            <anonymousAuthentication enabled="false" />
            <windowsAuthentication enabled="true" />
          </authentication>
        </security>
      </system.webServer>
    </location>
  </configuration>
  

  Pokud je projekt publikován pomocí .NET Core SDK (bez <IsTransformWebConfigDisabled> vlastnosti nastavenou na hodnotu true v souboru projektu), publikovaný soubor web.config obsahuje <location><system.webServer><security><authentication> oddíl. Další informace o této <IsTransformWebConfigDisabled> vlastnosti naleznete v tématu hostování ASP.NET Core v Windows se službou IIS .

• Po publikování a nasazení projektu proveďte u správce služby IIS konfiguraci na straně serveru:

  1. Ve Správci služby IIS vyberte v uzlu lokality na postranním panelu připojení web služby IIS.
  2. Dvakrát klikněte na ověřování v oblasti IIS .
  3. Vyberte anonymní ověřování. Na bočním panelu Akce vyberte Zakázat .
  4. Vyberte ověřování systému Windows. Na postranním panelu Akce vyberte Povolit .

  Při těchto akcích Správce služby IIS upraví soubor web.config aplikace. <system.webServer><security><authentication>Uzel je přidán s aktualizovaným nastavením pro anonymousAuthentication a windowsAuthentication :

  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" />
      </authentication>
    </security>
  </system.webServer>
  

  <system.webServer>Oddíl přidaný do souboru web.config správcem služby IIS je mimo <location> oddíl aplikace přidaný .NET Core SDK při publikování aplikace. Vzhledem k tomu, že část je přidána mimo <location> uzel, nastavení jsou děděna všemi podaplikacemi do aktuální aplikace. Chcete-li zabránit dědění, přesuňte přidaný <security> oddíl do <location><system.webServer> oddílu, který .NET Core SDK poskytl.

  Když se k přidání konfigurace služby IIS použije Správce služby IIS, ovlivní to jenom web.config souboru aplikace na serveru. Následné nasazení aplikace může přepsat nastavení na serveru, pokud je kopie web.config serveru nahrazena web.configm souborem projektu. Ke správě nastavení použijte některý z následujících přístupů:

  • Pomocí Správce služby IIS obnovte nastavení v souboru web.config poté, co je soubor po nasazení přepsán.
  • Do aplikace lokálně přidejte souborweb.config s nastavením.

// using Microsoft.AspNetCore.Authentication.Negotiate;
// using Microsoft.Extensions.DependencyInjection;

services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
   .AddNegotiate();

app.UseAuthentication();

HTTP.sys

HTTP.sys podporuje ověřování systému Windows v režimu jádra pomocí ověřování Negotiate, NTLM nebo Basic.

Přidejte ověřovací služby vyvoláním AddAuthentication ( Microsoft.AspNetCore.Server.HttpSys namespace) v Startup.ConfigureServices :

services.AddAuthentication(HttpSysDefaults.AuthenticationScheme);

Nakonfigurujte webového hostitele aplikace tak, aby používal HTTP.sys s ověřováním systému Windows (program.cs). UseHttpSysje v Microsoft.AspNetCore.Server.HttpSys oboru názvů.

public class Program
{
    public static void Main(string[] args)
    {
        CreateHostBuilder(args).Build().Run();
    }

    public static IHostBuilder CreateHostBuilder(string[] args) =>
        Host.CreateDefaultBuilder(args)
            .ConfigureWebHostDefaults(webBuilder =>
            {
                webBuilder.UseStartup<Startup>()
                    .UseHttpSys(options =>
                    {
                        options.Authentication.Schemes = 
                            AuthenticationSchemes.NTLM | 
                            AuthenticationSchemes.Negotiate;
                        options.Authentication.AllowAnonymous = false;
                    });
            });
}

public class Program
{
    public static void Main(string[] args) => 
        BuildWebHost(args).Run();

    public static IWebHost BuildWebHost(string[] args) =>
        WebHost.CreateDefaultBuilder(args)
            .UseStartup<Startup>()
            .UseHttpSys(options =>
            {
                options.Authentication.Schemes = 
                    AuthenticationSchemes.NTLM | 
                    AuthenticationSchemes.Negotiate;
                options.Authentication.AllowAnonymous = false;
            })
            .Build();
}

Autorizovat uživatele

Stav konfigurace anonymního přístupu určuje způsob, jakým se v [Authorize] [AllowAnonymous] aplikaci používají atributy a. Následující dvě části vysvětlují, jak zpracovat nepovolené a povolené stavy Konfigurace anonymního přístupu.

Zakázat anonymní přístup

Pokud je povoleno ověřování systému Windows a je zakázán anonymní přístup, [Authorize] [AllowAnonymous] atributy a nemají žádný vliv. Pokud je lokalita IIS nakonfigurovaná tak, aby povolovala anonymní přístup, požadavek nikdy nedosáhne vaší aplikace. Z tohoto důvodu se [AllowAnonymous] atribut nedá použít.

Povolení anonymního přístupu

Pokud je povoleno ověřování systému Windows i anonymní přístup, použijte [Authorize] atributy a [AllowAnonymous] . [Authorize]Atribut umožňuje zabezpečit koncové body aplikace, které vyžadují ověření. [AllowAnonymous]Atribut Přepisuje [Authorize] atribut v aplikacích, které povolují anonymní přístup. Podrobnosti o použití atributů naleznete v tématu Jednoduchá autorizace v ASP.NET Core .

Zosobnění

ASP.NET Core neimplementuje zosobnění. Aplikace se spouštějí s identitou aplikace pro všechny žádosti pomocí fondu aplikací nebo identity procesu. Pokud by aplikace měla provést akci jménem uživatele, použijte WindowsIdentity. RunImpersonated v middlewaru vloženého terminálu v Startup.Configure . Spusťte v tomto kontextu jednu akci a pak kontext zavřete.

app.Run(async (context) =>
{
    try
    {
        var user = (WindowsIdentity)context.User.Identity;

        await context.Response
            .WriteAsync($"User: {user.Name}\tState: {user.ImpersonationLevel}\n");

        WindowsIdentity.RunImpersonated(user.AccessToken, () =>
        {
            var impersonatedUser = WindowsIdentity.GetCurrent();
            var message =
                $"User: {impersonatedUser.Name}\t" +
                $"State: {impersonatedUser.ImpersonationLevel}";

            var bytes = Encoding.UTF8.GetBytes(message);
            context.Response.Body.Write(bytes, 0, bytes.Length);
        });
    }
    catch (Exception e)
    {
        await context.Response.WriteAsync(e.ToString());
    }
});

RunImpersonatednepodporuje asynchronní operace a neměl by se používat pro složité scénáře. Například zabalení všech požadavků nebo řetězů middleware není podporováno ani doporučeno.

Transformace deklarací identity

Další zdroje

• dotnet publish
• hostování ASP.NET Core v Windows se službou IIS
• Modul ASP.NET Core
• Visual Studio publikování profilů (.pubxml) pro ASP.NET Core nasazení aplikací