WCF Rest服务通过浏览器进行Windows身份验证

Question

鉴于wcf rest服务与HttpClientCredentialType.Windows一起运行并强制用户通过Kerberos进行身份验证。

 private static void Main(string[] args) 
    { 
     Type serviceType = typeof (AuthService); 
     ServiceHost serviceHost = new ServiceHost(serviceType); 

     WebHttpBinding binding = new WebHttpBinding(); 
     binding.Security.Mode = WebHttpSecurityMode.TransportCredentialOnly; 
     binding.Security.Transport.ClientCredentialType = HttpClientCredentialType.Windows; 

     ServiceEndpoint basicServiceEndPoint = serviceHost.AddServiceEndpoint(typeof(IAuthService), binding, "http://notebook50:87"); 
     basicServiceEndPoint.Behaviors.Add(new WebHttpBehavior()); 

     Console.WriteLine("wcf service started"); 
     serviceHost.Open(); 
     Console.ReadLine(); 
    } 

    public class AuthService : IAuthService 
{ 
    public List<string> GetUserInformation() 
    { 
     List<string> userInfo = new List<string>(); 
     userInfo.Add("Environment.User = " + Environment.UserName); 
     userInfo.Add("Environment.UserDomain = " + Environment.UserDomainName); 
     if (OperationContext.Current != null && OperationContext.Current.ServiceSecurityContext != null) 
     { 
      userInfo.Add("WindowsIdentity = " + OperationContext.Current.ServiceSecurityContext.WindowsIdentity.Name); 
      userInfo.Add("Auth protocol = " + OperationContext.Current.ServiceSecurityContext.WindowsIdentity.AuthenticationType); 
     } 
     else 
     { 
      userInfo.Add("WindowsIdentity = empty"); 
     } 
     WebOperationContext.Current.OutgoingResponse.ContentType = "text/plain"; 
     return userInfo; 
    } 
} 

[ServiceContract] 
public interface IAuthService 
{ 
    [OperationContract] 
    [WebInvoke(Method = "GET", ResponseFormat = WebMessageFormat.Json, UriTemplate = "test/")] 
    List<string> GetUserInformation(); 
} 

当我运行这是一个控制台应用程序，然后在Internet Explorer中从另一台计算机打开网页http://notebook50:87/test/，我得到一个“错误的请求”的响应。 我确实启用了kerberos日志记录，它显示我KDC_ERR_PREAUTH_REQUIRED

我可以通过创建一个windows服务来解决这个问题，并在'本地系统帐户'下运行它。 在这种情况下，客户端能够进行身份验证。

问题：用户（运行此wcf服务）需要什么权限/设置才能获得与应用程序在本地系统下以windows服务运行时相同的行为？ 这与服务原则名称有关吗？

Answer 1

它现在正在工作。 它确实是SPN的问题 在开始时，我已将SPN设置为setpn -A HTTP/notebook50.foo.com，因此，kerberos身份验证不起作用。

现在，我已将它设置为setspn -A HTTP/notebook50.foo.com用户名其中username是运行该服务的用户。

从我读过的SPN文档中，我不清楚我必须以这种方式设置用户帐户。

如果能够解释此处发生的情况并且可能是此场景文档的链接，那将是非常棒的。

Answer 2

您可以通过在Active Directory用户& computers - > properties - >帐户中为该用户帐户启用“不要求Kerberos预身份验证”选项来阻止此错误。