具有外部信任的 WCF SSPI 失败 - 选择性与域范围

Question

我在工作中遇到了一个问题，即我们使用 WCF 进行 SSO 的应用程序在与其他域通信时对域信任使用选择性身份验证失败。这是在服务器 2k8R2 机器上，它们的两个域都处于完整的 2k8R2 功能级别(这是一个测试系统，因为我们有一个客户想要部署这种类型的东西)。

基本上，我们有两个域，称它们为 A 和 B。当我们在域之间进行完整的双向外部(不是森林)信任时，应用程序工作正常(在将用户放入另一个域的适当组之后当然)。然后我们将关系从“全域”身份验证转变为“选择性身份验证”。根据我们阅读的一些文档，我们需要将用户直接添加到 AD 中的每台计算机的条目中，并赋予他们“允许验证”权限。

没用。

此外，然后我们在 ELSE 的某个地方看到暗示我们还必须授予他们对 DC 本身的相同权限。这样就完成了。再次失败。

应用抛出的异常如下(我转储到一个文件中)

A call to SSPI failed, see inner exception. Stacktrace: 
Server stack trace: 
   at System.ServiceModel.Channels.WindowsStreamSecurityUpgradeProvider.WindowsStreamSecurityUpgradeInitiator.OnInitiateUpgrade(Stream stream, SecurityMessageProperty& remoteSecurity)
   at System.ServiceModel.Channels.StreamSecurityUpgradeInitiatorBase.InitiateUpgrade(Stream stream)
   at System.ServiceModel.Channels.ConnectionUpgradeHelper.InitiateUpgrade(StreamUpgradeInitiator upgradeInitiator, IConnection& connection, ClientFramingDecoder decoder, IDefaultCommunicationTimeouts defaultTimeouts, TimeoutHelper& timeoutHelper)
   at System.ServiceModel.Channels.ClientFramingDuplexSessionChannel.SendPreamble(IConnection connection, ArraySegment`1 preamble, TimeoutHelper& timeoutHelper)
   at System.ServiceModel.Channels.ClientFramingDuplexSessionChannel.DuplexConnectionPoolHelper.AcceptPooledConnection(IConnection connection, TimeoutHelper& timeoutHelper)
   at System.ServiceModel.Channels.ConnectionPoolHelper.EstablishConnection(TimeSpan timeout)
   at System.ServiceModel.Channels.ClientFramingDuplexSessionChannel.OnOpen(TimeSpan timeout)
   at System.ServiceModel.Channels.CommunicationObject.Open(TimeSpan timeout)
   at System.ServiceModel.Channels.ServiceChannel.OnOpen(TimeSpan timeout)
   at System.ServiceModel.Channels.CommunicationObject.Open(TimeSpan timeout)
   at System.ServiceModel.Channels.ServiceChannel.CallOnceManager.CallOnce(TimeSpan timeout, CallOnceManager cascade)
   at System.ServiceModel.Channels.ServiceChannel.EnsureOpened(TimeSpan timeout)
   at System.ServiceModel.Channels.ServiceChannel.Call(String action, Boolean oneway, ProxyOperationRuntime operation, Object[] ins, Object[] outs, TimeSpan timeout)
   at System.ServiceModel.Channels.ServiceChannelProxy.InvokeService(IMethodCallMessage methodCall, ProxyOperationRuntime operation)
   at System.ServiceModel.Channels.ServiceChannelProxy.Invoke(IMessage message)

Exception rethrown at [0]: 
   at System.Runtime.Remoting.Proxies.RealProxy.HandleReturnMessage(IMessage reqMsg, IMessage retMsg)
   at System.Runtime.Remoting.Proxies.RealProxy.PrivateInvoke(MessageData& msgData, Int32 type)
(A couple of calls in our own code below here)
InnerException: System.Security.Authentication.AuthenticationException: A call to SSPI failed, see inner exception. ---> System.ComponentModel.Win32Exception: Unknown error (0xc0000413)
   --- End of inner exception stack trace ---
   at System.Net.Security.NegoState.ProcessAuthentication(LazyAsyncResult lazyResult)
   at System.Net.Security.NegotiateStream.AuthenticateAsClient(NetworkCredential credential, String targetName, ProtectionLevel requiredProtectionLevel, TokenImpersonationLevel allowedImpersonationLevel)
   at System.ServiceModel.Channels.WindowsStreamSecurityUpgradeProvider.WindowsStreamSecurityUpgradeInitiator.OnInitiateUpgrade(Stream stream, SecurityMessageProperty& remoteSecurity) 

所以，基本上就是这样。正在发生某种类型的“AuthorizationException”。正如我所说，当它是域范围的双向信任时，它不会发生，所以我们认为我们缺少一些设置来“重新启用”以使其工作。有没有人知道足够多的信任来为我们指出正确的方向来启用选择性身份验证并使 SSO/SSPI 为此工作？它确实已经在全域范围内工作，但我们必须开放什么才能使其有选择地工作(最好只为我们希望它工作的用户工作)？

谢谢。

Answer 1

在调用 Microsoft 后，问题得到了解决:我们没有为在主机上运行服务的许多用户设置“允许进行身份验证”权限。文档都提到必须向您的客户提供您正在访问的机器的权限(在某些情况下包括 DC)，但没有提到还必须将您的远程客户端添加到“安全”运行服务的主机用户的选项卡。

所以我将总结一些人为的用户名、域名和机器名，以及一个默认存在的实际服务帐户。

“A”域:客户端尝试连接的域“B”域:这是机器托管域 A 中的用户所连接的服务的域。Client@A:来自A域的用户连接到B域中的服务。ServiceAccount@B:来自托管 Client@A 连接到的 WCF 服务的 B 域的用户。krbtgt@B:这是一个内置用户，其描述为“Key Distribution Center Service Account”。只要您在“查看”菜单下启用了“高级功能”，它就会位于“用户”下的“Active Directory 用户和计算机”下。除非你这样做，否则它根本不会出现。B-DC:B域的域 Controller B 主机:我们正在连接的 WCF 服务的主机。

因此，要让 Client@A 连接到用户 ServiceAccount@B 在 B 主机上运行的 WCF 服务，使用 SSPI/Windows 身份验证，在具有选择性身份验证的外部信任上，您需要执行以下操作:

1. 打开 AD 用户和计算机并在“查看”菜单下启用“高级功能”
2. 找到 B-DC 对象(默认情况下在域 Controller 下，但如果您移动了它，也可以在其他地方)并打开“安全”选项卡。除非您在步骤 1 中启用了高级功能，否则该选项卡将不存在。将 Client@A 用户添加到组或用户名中，并确保为该用户选中“读取”和“允许验证”。
3. 找到 B-host 对象(默认情况下在 Computers 下，但如果您移动了它也可以在其他地方)并打开“security”选项卡。除非您在步骤 1 中启用了高级功能，否则该选项卡将不存在。将 Client@A 用户添加到组或用户名中，并确保为该用户选中“读取”和“允许验证”。
4. 在“用户”下找到 krbtgt@B 用户。如果不启用“高级功能”，则帐户本身将不可见。转到安全选项卡并添加已选中“允许进行身份验证”和“读取”权限的 Client@A 用户。
5. 找到 serviceaccount@B 用户并执行与 krbtgt 相同的操作。

现在它应该可以工作了。奇怪的是，您需要所有这些只是为了像那样跨边界运行经过 Windows 身份验证(而不是证书)的 WCF 连接，但是就这样了。您需要将远程用户添加到 AD 中的四个不同对象才能使其正常工作。大概将远程用户添加到域 B 中具有正确权限的某些域本地组也可以，但尚未经过测试。

编辑:然后在不到一个小时的时间内让 krbtgt 被具有 AdminSDHolder 权限的 PDC 模拟器覆盖。每小时。

基本上，krbtgt 受到了 super 保护。您必须更改 AdminSDHolder，它传播了很多。添加 JUST“允许进行身份验证”的命令是:

dsacls "[DN of object]" /g "[groupname]:ca;allowed to authenticate"

如果您想了解有关其功能的更多信息，请查找“dsacls”工具。这对于更改访问控制列表和打印出来都非常方便。事实上比 GUI 更好。

无论如何，这现在确实有效了。有完整的答案。