Configurar la autenticación de Windows en ASP.NET Core

Por Scott Addie

La autenticación de Windows se basa en el sistema operativo para autenticar a los usuarios de ASP.NET Core aplicaciones. Puede usar la autenticación de Windows cuando el servidor se ejecuta en una red corporativa con Active Directory identidades de dominio o cuentas de Windows para identificar a los usuarios. La autenticación de Windows es más adecuada para entornos de intranet en los que los usuarios, las aplicaciones cliente y los servidores Web pertenecen al mismo dominio de Windows.

Escenarios de proxy y equilibrador de carga

La autenticación de Windows es un escenario con estado que se usa principalmente en una intranet, donde un proxy o un equilibrador de carga normalmente controla el tráfico entre clientes y servidores. Si se usa un proxy o un equilibrador de carga, la autenticación de Windows solo funciona si el proxy o el equilibrador de carga:

• Controla la autenticación.
• Pasa la información de autenticación del usuario a la aplicación (por ejemplo, en un encabezado de solicitud), que actúa en la información de autenticación.

Una alternativa a la autenticación de Windows en entornos en los que se usan servidores proxy y equilibradores de carga es Active Directory Federated Services (ADFS) con OpenID Connect (OIDC).

IIS/IIS Express

Agregar servicios de autenticación mediante la invocación AddAuthentication Microsoft.AspNetCore.Server.IISIntegration de (espacio de nombres) en Startup.ConfigureServices :

services.AddAuthentication(IISDefaults.AuthenticationScheme);

Configuración de inicio (depurador)

La configuración de la configuración de inicio solo afecta a las propiedades/launchSettings.jsdel archivo para IIS Express y no configura IIS para la autenticación de Windows. La configuración del servidor se explica en la sección IIS .

La plantilla de aplicación web disponible a través de Visual Studio o el CLI de .net Core puede configurarse para admitir la autenticación de Windows, que actualiza las propiedades o el launchSettings.jsen el archivo automáticamente.

"iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
        "applicationUrl": "http://localhost:52171/",
        "sslPort": 44308
    }
}

dotnet new webapp --auth Windows

"iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
        "applicationUrl": "http://localhost:52171/",
        "sslPort": 44308
    }
}

Al modificar un proyecto existente, confirme que el archivo de proyecto incluye una referencia de paquete para el metapaquete Microsoft. AspNetCore. app o el paquete NuGet Microsoft. AspNetCore. Authentication .

IIS

IIS usa el módulo ASP.net Core para hospedar ASP.net Core aplicaciones. La autenticación de Windows está configurada para IIS a través del archivo de web.config . En las secciones siguientes se muestra cómo:

• Proporcione un archivo de web.config local que active la autenticación de Windows en el servidor cuando se implemente la aplicación.
• Use el administrador de IIS para configurar el archivo de web.config de una aplicación ASP.net Core que ya se ha implementado en el servidor.

Si todavía no lo ha hecho, habilite IIS para hospedar ASP.NET Core aplicaciones. Para obtener más información, vea Hospedaje de ASP.NET Core en Windows con IIS.

Habilite el servicio de función IIS para la autenticación de Windows. Para obtener más información, vea Habilitar la autenticación de Windows en los servicios de rol de IIS (consulte el paso 2).

El middleware de integración con IIS está configurado para autenticar solicitudes automáticamente de forma predeterminada. Para obtener más información, vea Host ASP.net Core en Windows con IIS: opciones de IIS (AutomaticAuthentication).

El módulo ASP.NET Core está configurado para reenviar el token de autenticación de Windows a la aplicación de forma predeterminada. Para obtener más información, vea referencia de configuración del módulo ASP.net Core: atributos del elemento aspNetCore.

Use cualquiera de los métodos siguientes:

• Antes de publicar e implementar el proyecto, agregue el siguiente archivo de web.config a la raíz del proyecto:

  <?xml version="1.0" encoding="utf-8"?>
  <configuration>
    <location path="." inheritInChildApplications="false">
      <system.webServer>
        <security>
          <authentication>
            <anonymousAuthentication enabled="false" />
            <windowsAuthentication enabled="true" />
          </authentication>
        </security>
      </system.webServer>
    </location>
  </configuration>
  

  Cuando el SDK de .NET Core publica el proyecto (sin la <IsTransformWebConfigDisabled> propiedad establecida en true en el archivo de proyecto), el archivo de web.config publicado incluye la <location><system.webServer><security><authentication> sección. Para obtener más información sobre la <IsTransformWebConfigDisabled> propiedad, vea Hospedaje de ASP.NET Core en Windows con IIS .

• Después de publicar e implementar el proyecto, realice la configuración del servidor con el administrador de IIS:

  1. En el administrador de IIS, seleccione el sitio de IIS en el nodo sitios de la barra lateral conexiones .
  2. Haga doble clic en autenticación en el área IIS .
  3. Seleccione autenticación anónima. Seleccione deshabilitar en la barra lateral de acciones .
  4. Seleccione Autenticación de Windows. Seleccione Habilitar en la barra lateral de acciones .

  Cuando se realizan estas acciones, el administrador de IIS modifica el archivo de web.config de la aplicación. <system.webServer><security><authentication>Se agrega un nodo con la configuración actualizada para anonymousAuthentication y windowsAuthentication :

  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" />
      </authentication>
    </security>
  </system.webServer>
  

  La <system.webServer> sección agregada al archivo web.config por el administrador de IIS está fuera de la sección de la aplicación <location> agregada por el SDK de .net Core cuando se publica la aplicación. Dado que la sección se agrega fuera del <location> nodo, todas las aplicaciones secundarias de la aplicación actual heredan la configuración. Para evitar la herencia, mueva la <security> sección agregada dentro de la <location><system.webServer> sección que proporciona el SDK de .net Core.

  Cuando se utiliza el administrador de IIS para agregar la configuración de IIS, solo afecta al archivo de web.config de la aplicación en el servidor. Una implementación posterior de la aplicación puede sobrescribir la configuración del servidor si la copia del servidor de web.config se reemplaza por el archivo web.config del proyecto. Use cualquiera de los métodos siguientes para administrar la configuración:

  • Use el administrador de IIS para restablecer la configuración del archivo de web.config después de sobrescribir el archivo en la implementación.
  • Agregue un archivo deweb.config a la aplicación localmente con la configuración.

// using Microsoft.AspNetCore.Authentication.Negotiate;
// using Microsoft.Extensions.DependencyInjection;

services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
   .AddNegotiate();

app.UseAuthentication();

HTTP.sys

HTTP.sys admite la autenticación de Windows en modo kernel mediante la autenticación Negotiate, NTLM o básica.

Agregar servicios de autenticación mediante la invocación AddAuthentication Microsoft.AspNetCore.Server.HttpSys de (espacio de nombres) en Startup.ConfigureServices :

services.AddAuthentication(HttpSysDefaults.AuthenticationScheme);

Configure el host Web de la aplicación para usar HTTP.sys con la autenticación de Windows (Program.CS). UseHttpSysestá en el Microsoft.AspNetCore.Server.HttpSys espacio de nombres.

public class Program
{
    public static void Main(string[] args)
    {
        CreateHostBuilder(args).Build().Run();
    }

    public static IHostBuilder CreateHostBuilder(string[] args) =>
        Host.CreateDefaultBuilder(args)
            .ConfigureWebHostDefaults(webBuilder =>
            {
                webBuilder.UseStartup<Startup>()
                    .UseHttpSys(options =>
                    {
                        options.Authentication.Schemes = 
                            AuthenticationSchemes.NTLM | 
                            AuthenticationSchemes.Negotiate;
                        options.Authentication.AllowAnonymous = false;
                    });
            });
}

public class Program
{
    public static void Main(string[] args) => 
        BuildWebHost(args).Run();

    public static IWebHost BuildWebHost(string[] args) =>
        WebHost.CreateDefaultBuilder(args)
            .UseStartup<Startup>()
            .UseHttpSys(options =>
            {
                options.Authentication.Schemes = 
                    AuthenticationSchemes.NTLM | 
                    AuthenticationSchemes.Negotiate;
                options.Authentication.AllowAnonymous = false;
            })
            .Build();
}

Autorizar a usuarios

El estado de configuración de acceso anónimo determina el modo en que [Authorize] [AllowAnonymous] se usan los atributos y en la aplicación. En las dos secciones siguientes se explica cómo administrar los Estados de configuración no permitidos y permitidos de acceso anónimo.

No permitir el acceso anónimo

Cuando se habilita la autenticación de Windows y se deshabilita el acceso anónimo, los [Authorize] [AllowAnonymous] atributos y no tienen ningún efecto. Si un sitio de IIS está configurado para no permitir el acceso anónimo, la solicitud nunca llega a la aplicación. Por esta razón, el [AllowAnonymous] atributo no es aplicable.

Permitir acceso anónimo

Cuando esté habilitada la autenticación de Windows y el acceso anónimo, utilice los [Authorize] [AllowAnonymous] atributos y. El [Authorize] atributo permite proteger los puntos de conexión de la aplicación que requieren autenticación. El [AllowAnonymous] atributo invalida el [Authorize] atributo en las aplicaciones que permiten el acceso anónimo. Para obtener información sobre el uso de atributos, vea Autorización simple en ASP.NET Core .

Suplantación

ASP.NET Core no implementa la suplantación. Las aplicaciones se ejecutan con la identidad de la aplicación para todas las solicitudes, mediante el grupo de aplicaciones o la identidad del proceso. Si la aplicación debe realizar una acción en nombre de un usuario, use WindowsIdentity. RunImpersonated en un middleware de terminal en línea en Startup.Configure . Ejecute una sola acción en este contexto y, a continuación, cierre el contexto.

app.Run(async (context) =>
{
    try
    {
        var user = (WindowsIdentity)context.User.Identity;

        await context.Response
            .WriteAsync($"User: {user.Name}\tState: {user.ImpersonationLevel}\n");

        WindowsIdentity.RunImpersonated(user.AccessToken, () =>
        {
            var impersonatedUser = WindowsIdentity.GetCurrent();
            var message =
                $"User: {impersonatedUser.Name}\t" +
                $"State: {impersonatedUser.ImpersonationLevel}";

            var bytes = Encoding.UTF8.GetBytes(message);
            context.Response.Body.Write(bytes, 0, bytes.Length);
        });
    }
    catch (Exception e)
    {
        await context.Response.WriteAsync(e.ToString());
    }
});

RunImpersonatedno es compatible con las operaciones asincrónicas y no debe usarse en escenarios complejos. Por ejemplo, no se admite el ajuste de solicitudes completas o cadenas de middleware.

Transformaciones de notificaciones

Recursos adicionales

• dotnet publish
• Hospedaje de ASP.NET Core en Windows con IIS
• Módulo ASP.NET Core
• Perfiles de publicación (.pubxml) de Visual Studio para la implementación de aplicaciones ASP.NET Core