如何配置Windows用户或模拟WindowsIdentity以通过特定.NET身份验证

要实现「用户无实际管理员权限，但Claims包含管理员组SID」的测试场景，分两种场景推荐不同方案：

一、单元测试：模拟WindowsIdentity对象（推荐） #

真实环境中普通用户很难被赋予管理员SID声明但不具备管理员权限，单元测试直接模拟对象是最可控的方式。

实现步骤： #

1. 创建包含管理员组SID声明的ClaimsIdentity，确保该身份的角色不包含管理员权限。
2. 将ClaimsIdentity转换为WindowsIdentity（或直接构造WindowsPrincipal），传入你的CheckIdentity方法。

代码示例： #

适用于.NET Core 3.0+/NET 5+环境：

// 构造包含管理员SID声明的ClaimsIdentity
var claims = new List<Claim>
{
    new Claim("http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid", "S-1-5-32-544"),
    new Claim(ClaimTypes.Name, "TestUser") // 可选：添加用户名声明
};
var claimsIdentity = new ClaimsIdentity(claims, "Windows");

// 转换为WindowsIdentity
var mockIdentity = WindowsIdentity.FromClaims(claimsIdentity);

// 验证场景：IsInRole返回false，但Claims包含管理员SID
var result = YourClass.CheckIdentity(mockIdentity);
// 预期result为true

适用于.NET Framework环境：

var claimsIdentity = new ClaimsIdentity(new[]
{
    new Claim("http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid", "S-1-5-32-544")
}, "Windows");
var mockPrincipal = new WindowsPrincipal(claimsIdentity);

// 此时mockPrincipal.IsInRole(WindowsBuiltInRole.Administrator)返回false
// 同时Claims包含管理员SID声明，可直接用于验证逻辑

二、集成测试：本地用户配置（仅适用于特殊测试环境） #

如果需要在真实Windows用户环境下测试，可通过以下方式实现（注意：操作会修改系统配置，仅限测试环境使用）：

• 创建一个普通本地用户，确保未加入管理员组。
• 通过组策略或第三方工具手动向该用户的令牌添加管理员组SID声明。

操作要点： #

1. 打开本地组策略编辑器（gpedit.msc）。
2. 导航到「计算机配置→Windows设置→安全设置→本地策略→用户权限分配」。
3. 借助advapi32.dll相关API或PowerShell脚本，向测试用户的令牌注入管理员组SID声明。

警告：该配置不符合Windows安全模型，测试完成后务必删除该用户或恢复系统配置，避免安全风险。

内容的提问来源于stack exchange，提问作者MBi