Active Directory и ASP.NET (C#)

ДАНО:
1.Win2003 Server с установленным на нём Active Directory
2.WinXP sp2 + IIS + Asp.net
в настройках web.config <authentication mode="Windows"/> <identity impersonate="true" />
в настройках IIS стоит "встроенная проверка Windows" анонимный доступ отключён.

Задача:
Используя ASP.NET получить доступ в Active Directory испольуя контектс залогининного доменнго пользователя т.е. пользователя должен ввести пароль только когда заходит в Windows и всё дальше приложение ASP.NET должно его распозновать по SSO

ВОПРОС :
Если запустить IE и обратиться к IIS с той же машина на которой стоит IIS (winXP)то всё работате отлично как надо.
НО если запустить IE с другой машины домена (ну стогоже контролера домена) то при обращении к IIS запрашивается ввод логинпароль. И по SSO получить доступ к AD не получается.
Как сделать так чтобы при обращении к IIS использовалась учетная запись залогининного пользователя домена? И почему если пользователь на удалённой машине по отношению к IIS нет доступа к AD через SSO ???
пробывал ставить <identity impersonate="false" /> и делать имперсонализацию руками.
WindowsImpersonationContext impersonatedUser = WindowsIdentity.Impersonate(((WindowsIde ntity)User.Identity).Token);

Но результат одинаков. Имперсонализацию проходит успешно но в AD стучусь как анонимный пользователь и соответсвенно доступа к AD не получаю. Хотя на локальной машине всё работает.

0

Internet Explorer автоматически использует NTML аутентификацию только для сайтов из зон Trusted Sites и Local Intranet. Скорее всего компьютер на котором запущеен IIS не воспринимается как входящий в одну из этих зон (посмотри что пишется справа в строке статуса). Тебе должно помочь ручное добавление сайта в Local Intranet.
Что касается доступа к AD, то у тебя все настройки уже правильно сделаны. И разумеется комп с IIS должен быть членом домена. По моему больше ничего не нужно.

0

Спасибо. Добавление сайта в Local Intranet помогло избавиться от запроса логинпароль.
Но вот доступ в Active Directory без ввода пароля c использованием SSO по прежнему не работает.

0

Можешь показать код обращения к AD?

0

DirectoryEntry entry = new DirectoryEntry(LDAP://NameDC/CN=Users,DC=DOMAINNAME,DC=TEST);
На локальной машине доступ получаю, на удалённой - нет. Если в конструтор добавить логинпароль то на удалённой машине доступ получаю, но надо то без ввода логина и пароля.

0

А если попробовать использовать перегруженный метод который, принимает в качестве последнего аргумента тип аутентификации? Попробуй ему передать <SPAN class=identifier>AuthenticationTypes.Sec ure.</SPAN>
<SPAN class=identifier>И еще вопрос: какая у тебя версия .NET?</SPAN>

0

пробывал так
DirectoryEntry entry = new DirectoryEntry(LDAP://NameDC/CN=Users,DC=DOMAIN,DC=TEST, null, null, AuthenticationTypes.Secure);
и так
DirectoryEntry entry = new DirectoryEntry(LDAP://NameDC/CN=Users,DC=DOMAIN,DC=TEST);
entry.AuthenticationType = AuthenticationTypes.Secure;
Результат одинаков доступа на удалённой машине нет
WindowsIdentity.GetCurrent().Authenticat ionType == Kerberos
ASP.NET ver:2.0.50727
IIS ver:5.1

0

Раз .NET 2.0, то аргумент AuthenticationTypes.Secure должен использоваться по умолчанию. Так написано в MSDN во всяком случае.
Возможно проблема кроется в Kerberos аутентификации. У меня на машине WindowsIdentity.GetCurrent().Authenticat ionType == Negotiate. Но я не уверен, просто попытка попасть пальцем в небо.

0

У меня Negotiate == HttpContext.Current.User.Identity.Authen ticationType
WindowsIdentity.GetCurrent().Authenticat ionType
До имперсонализации равно
NTLM
После имперсонализации равно
Kerberos
По идее это правильно т.к. Kerberos как раз делает возможным обращение к серверу без посылки логинапароля. И на сколько я понял из MSDN “Negotiate” как раз и говорит о том что используется или Kerberos или NTLM

0

Тогда я пас. Не знаю в чем тут дело может быть.

0

Что любоытно - когда запускаешь IE с компа DC - заработало... правда не понятно почему и как то странно... То работает то не работет, сразу после перезагрузки компа где стоит IIS работает, потом после какогото времени не работат... ромашка какаято....
Пршёл дальше решил дастучаться к IIS с третьего компа(IIS на одном, AD на другом, а IE на третьем), которой является членом домена и пользователь залогинен как член домена. Доступа нет. Почему нет доступа понятно там вместо kerberos используется NTLM а вот почему??? это вопрос....

0

Вопрос такой. Попытался залезть в Активную директорию домен контроллера (данные по юзерам вытащить), Получилось. Консольная аппликация работает нормально (запускаю со своего компутера, под своим логином без прав администратора) а вот абсолютная копия, но в виде веб аппликации не возвращает никаких данных, хотя и ошибки не дает, хотя разница только в том, что поменял Console.Write на Response.Write. В чем может быть проблем?

0

v IIS ustanavi windows auth.

0

Пробовал :-((

0

otashli isxodniki mne please

0

все просто - когда ты запускаешь windows-приложение, оно запускается под твоей учетной записью и имеет права на доступ к active directory, а когда ты запускаешь веб-приложение, оно запускается по-умолчанию под локальной учетной записью, которая не имеет прав на доступ к active directory

0

'windows auth' там не поможет - выход такой

1. либо установить в web.config impersonation=true (зависит от назначения приложения, вообще, в общем случане не лучший способ)

2. написать COM+ модуль и зарегистрировать его с правами на запуск например под твоим юзером и вызывать этот модуль из ASP.NET

0

Отослал на мейл.

0

smaliq, а в какой раздел вебконфига, в какое место вписывать?

0

da , on prav

0