c# - 使用 Active Directory 服务帐户从 .NET 连接到 SQL Server

Question

我有一个用 C# 编写的 Winforms 应用程序，它连接到一个 SQL Server 数据库。当我连接到 SQL Server 时，我建立了一个连接字符串，它可以包含 SQL Server 登录详细信息或使用 Windows 身份验证，在这种情况下，我省略用户名和密码并使用

"Integrated Security=SSPI" 

连接字符串中的设置。

现在，用户要求他们可以选择使用 Active Directory 服务帐户而不是网络用户帐户连接到 MS SQL Server(我假设使用 Windows 身份验证的连接将通过。

我不熟悉服务帐户或 Active Directory，想知道是否有人可以为我指明正确的方向。是否有某种方法可以构建连接字符串，使我的应用程序可以使用特定的 Active Directory 服务帐户连接到数据库？

Answer 1

连接字符串与此无关。

a user requested that they have the option to connect to MS SQL Server using an Active Directory Service Account as opposed to a Network User account

这意味着用户已请求您的应用程序作为服务帐户运行，而不是作为当前登录的用户。一种简单的方法是简单地在 runas /netonly 下启动应用程序:

runas /netonly /user:domain\serviceaccount MyWinFormsApp.exe

通过这种方式，您的应用程序将作为网络上的域服务帐户运行，并且它将使用 domain\serviceaccount 凭据连接到 SQL Server。这将满足您的客户的要求，至少在粗略的表面上是这样。

如果使用 runas 的解决方案不令人满意(客户端可能合理地提示它要求启动应用程序的用户知道域\服务帐户密码)那么事情会变得有点复杂。正确的做法是将您的应用程序一分为二，一个 UI 表示层 .exe 应用程序在登录用户凭据下运行，一个业务逻辑层组件作为服务在 domain\serviceaccount 凭据下运行。这两个组件使用您选择的 IPC(通常是 WCF)进行通信。正如您可能意识到的那样，这需要对您的应用程序进行 主要 重写。

有些人可能会建议在打开与数据库的连接之前让您的应用程序模拟域\服务帐户。由于服务帐户密码存储/检索困惑，我强烈反对这样做。由于应用程序需要知道服务帐户密码才能模拟它，因此登录运行应用程序的用户要么知道该密码，要么很容易找到它(没有办法阻止如果应用程序可以找到它，他就可以找到它)。由于登录用户无论如何都可以访问域服务密码，因此他可能只使用runas/netonly 解决方案。这最终解释了为什么 runas 解决方案只是一个浅薄的烟雾和镜子解决方案:您的客户可能已经请求他所请求的唯一原因是他想将登录用户的特权与应用程序的特权(即不要向每个员工授予 SQL Servera 访问权限)。由于 runas 解决方案(以及在应用程序中模拟)要求登录用户知道服务帐户密码，因此实际上并没有发生权限分离，因为登录用户可以随时使用它希望服务账号密码，提升权限，随意访问SQL Server数据库。因此，唯一值得讨论的解决方案是将应用程序分成两部分。