ASP.NET Core 6 Web API本地Windows用户组授权问题求助

问题根源 #

Negotiate认证（Windows身份认证）默认不会自动将本地用户组信息加载到HttpContext.User的Claims中，导致IsInRole或RequireRole无法识别用户所属的本地组，最终返回403权限错误。

解决方案1：通过ClaimsTransformation自动加载本地组声明 #

该方案在认证完成后，主动获取用户的本地组信息并添加为Role声明，后续授权逻辑可直接使用IsInRole或RequireRole。

步骤1：实现ClaimsTransformer #

创建一个类实现IClaimsTransformation，用于补充用户的本地组声明：

using System.DirectoryServices.AccountManagement;
using System.Security.Claims;

public class LocalGroupClaimsTransformer : IClaimsTransformation
{
    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var identity = (ClaimsIdentity)principal.Identity;
        var userName = identity.Name;

        // 仅对Windows认证的用户处理
        if (identity.AuthenticationType == "Negotiate")
        {
            using var machineContext = new PrincipalContext(ContextType.Machine);
            using var user = UserPrincipal.FindByIdentity(machineContext, userName);
            
            if (user != null)
            {
                foreach (var group in user.GetGroups(machineContext))
                {
                    identity.AddClaim(new Claim(ClaimTypes.Role, group.Name));
                }
            }
        }

        return Task.FromResult(principal);
    }
}

步骤2：注册服务并配置授权 #

在Program.cs中注册Transformer和授权策略：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 注册本地组Claims转换服务
builder.Services.AddScoped<IClaimsTransformation, LocalGroupClaimsTransformer>();

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireWindowsGroupMembership", policy =>
    {
        policy.AddAuthenticationSchemes(NegotiateDefaults.AuthenticationScheme);
        policy.RequireRole("ADMIN_PORTAL_ACCESS");
    });
});

依赖说明 #

需要安装NuGet包System.DirectoryServices.AccountManagement，用于操作本地用户和组。

解决方案2：在授权断言中直接验证本地组成员 #

如果不想修改Claims集合，可以在授权策略中直接查询用户是否属于目标本地组：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireWindowsGroupMembership", policy =>
    {
        policy.AddAuthenticationSchemes(NegotiateDefaults.AuthenticationScheme);
        policy.RequireAssertion(context =>
        {
            var userName = context.User.Identity.Name;
            using var machineContext = new PrincipalContext(ContextType.Machine);
            using var user = UserPrincipal.FindByIdentity(machineContext, userName);
            
            if (user == null) return false;
            // 验证用户是否属于指定本地组
            return user.IsMemberOf(machineContext, IdentityType.Name, "ADMIN_PORTAL_ACCESS");
        });
    });
});

该方案每次授权都会查询本地组信息，适合组信息变动频繁的场景，但性能略低于方案1。

替代方案：脱离本地组的角色管理 #

如果不需要依赖Windows本地组，可以通过配置文件或数据库维护用户-角色映射，灵活分配权限：

示例：基于配置文件的角色分配 #

1. 在appsettings.json中添加用户角色映射：

"UserRoles": {
  "LOCAL\\TestUser": ["ADMIN_PORTAL_ACCESS"],
  "WORKGROUP\\AnotherUser": ["ADMIN_PORTAL_ACCESS"]
}

2. 实现配置驱动的ClaimsTransformer：

using System.Security.Claims;

public class ConfigClaimsTransformer : IClaimsTransformation
{
    private readonly IConfiguration _config;

    public ConfigClaimsTransformer(IConfiguration config)
    {
        _config = config;
    }

    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var identity = (ClaimsIdentity)principal.Identity;
        var userName = identity.Name;

        var userRoles = _config.GetSection("UserRoles").Get<Dictionary<string, List<string>>>();
        if (userRoles.TryGetValue(userName, out var roles))
        {
            foreach (var role in roles)
            {
                identity.AddClaim(new Claim(ClaimTypes.Role, role));
            }
        }

        return Task.FromResult(principal);
    }
}

3. 在Program.cs中注册该Transformer即可使用原有的授权策略。

注意事项 #

• 确保Web API运行进程有读取本地用户组的权限：如使用IIS，需将应用池身份设置为具有本地用户组读取权限的账户；控制台运行时，当前登录用户需具备相应权限。
• 本地组名称需与计算机管理中的组名完全一致（Windows组名不区分大小写，但建议严格匹配）。
• 测试前确认用户确实已加入目标本地组，可通过计算机管理的用户组界面验证。

内容的提问来源于stack exchange，提问作者aaaaaaaaaron_g