Usługa spoczynku WCF Uwierzytelnianie systemu Windows za pomocą przeglądarki

Question

Podano usługi reszta wcf, która działa z HttpClientCredentialType.Windows i wymusza na użytkowniku uwierzytelnianie przez Kerberos.

 private static void Main(string[] args) 
    { 
     Type serviceType = typeof (AuthService); 
     ServiceHost serviceHost = new ServiceHost(serviceType); 

     WebHttpBinding binding = new WebHttpBinding(); 
     binding.Security.Mode = WebHttpSecurityMode.TransportCredentialOnly; 
     binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Windows; 

     ServiceEndpoint basicServiceEndPoint = serviceHost.AddServiceEndpoint(typeof(IAuthService), binding, "http://notebook50:87"); 
     basicServiceEndPoint.Behaviors.Add(new WebHttpBehavior()); 

     Console.WriteLine("wcf service started"); 
     serviceHost.Open(); 
     Console.ReadLine(); 
    } 

    public class AuthService : IAuthService 
{ 
    public List<string> GetUserInformation() 
    { 
     List<string> userInfo = new List<string>(); 
     userInfo.Add("Environment.User = " + Environment.UserName); 
     userInfo.Add("Environment.UserDomain = " + Environment.UserDomainName); 
     if (OperationContext.Current != null && OperationContext.Current.ServiceSecurityContext != null) 
     { 
      userInfo.Add("WindowsIdentity = " + OperationContext.Current.ServiceSecurityContext.WindowsIdentity.Name); 
      userInfo.Add("Auth protocol = " + OperationContext.Current.ServiceSecurityContext.WindowsIdentity.AuthenticationType); 
     } 
     else 
     { 
      userInfo.Add("WindowsIdentity = empty"); 
     } 
     WebOperationContext.Current.OutgoingResponse.ContentType = "text/plain"; 
     return userInfo; 
    } 
} 

[ServiceContract] 
public interface IAuthService 
{ 
    [OperationContract] 
    [WebInvoke(Method = "GET", ResponseFormat = WebMessageFormat.Json, UriTemplate = "test/")] 
    List<string> GetUserInformation(); 
} 

gdy ten jako aplikację konsoli, a następnie otworzyć stronę w przeglądarce Internet Explorer http://notebook50:87/test/ z innego komputera, pojawia się „złe żądanie” odpowiedzi. Włączyłem rejestrowanie kerberos i pokazuje mi KDC_ERR_PREAUTH_REQUIRED

Mogę rozwiązać ten problem, tworząc usługę Windows i uruchamiać ją w "Local System account". W takim przypadku klient może uwierzytelnić się.

Pytanie: Jakie uprawnienia/ustawienia wykonuje użytkownik (który uruchamia tę usługę wcf), aby uzyskać takie samo zachowanie, jak w przypadku, gdy aplikacja działa jako usługa Windows w systemie lokalnym? Czy jest to związane z nazwą zasady obsługi?

Answer 1

Działa teraz. To naprawdę był problem z SPN Na początku ustawiłem SPN jak setpn -A HTTP/notebook50.foo.com, a przy tym uwierzytelnianie Kerberos nie działało.

Teraz ustawiłem to jako setspn -A HTTP/notebook50.foo.com nazwa użytkownika gdzie nazwa użytkownika jest użytkownikiem, pod którym działa usługa.

Z dokumentacji SPN, którą przeczytałem, nie było dla mnie jasne, że muszę ustawić konto użytkownika w ten sposób.

Byłoby świetnie, gdyby można było wyjaśnić, co się tutaj dzieje, i prawdopodobnie link do dokumentacji dla tego scenariusza.

Answer 2

Możesz zatrzymać pojawienie się tego błędu, włączając opcję "Nie wymagaj wstępnego uwierzytelniania Kerberos" dla tego konta użytkownika w Active Directory users & komputery -> właściwości -> konto.