Linux环境下基于LDAP跨主机验证用户身份方案咨询

针对你描述的场景（LDAP登录的Linux主机运行AvaloniaUI客户端，通过gRPC与另一台Linux服务端通信，无需明文密码传输），以下是几种可行的实现方式，类似Windows的WindowsIdentity令牌验证机制：

1. Kerberos 令牌验证（推荐，最贴近Windows SSO体验） #

Kerberos是跨平台的身份验证协议，支持无需密码传输的单点登录，完美适配LDAP用户场景：

• 前提条件：两台主机加入同一个Kerberos域，且LDAP用户与Kerberos主体关联（比如用OpenLDAP+MIT Kerberos集成，通过pam_krb5模块让用户登录系统时自动获取Kerberos票据）
• 客户端实现：Avalonia应用通过系统GSSAPI或.NET Kerberos库获取当前用户的服务票据（针对gRPC服务端的SPN，即服务主体名），将票据以Base64编码后放入gRPC请求元数据：

// 示例：获取gRPC服务端SPN的Kerberos票据
var spn = "grpc/server.yourdomain.com";
var ticket = Kerberos.NET.Client.KerberosClientService.GetTicket(spn);
// 构造gRPC元数据
var metadata = new Metadata();
metadata.Add("Authorization", $"Negotiate {Convert.ToBase64String(ticket.Encode())}");
// 发起gRPC请求时携带metadata
var client = new YourGrpcService.YourGrpcServiceClient(channel);
var response = await client.YourMethodAsync(request, metadata);

• 服务端验证：gRPC服务端通过GSSAPI或Kerberos库解析并验证令牌，获取用户身份信息，无需接触密码：

// gRPC拦截器中处理身份验证
public override async Task<TResponse> UnaryServerHandler<TRequest, TResponse>(
    TRequest request,
    ServerCallContext context,
    UnaryServerMethod<TRequest, TResponse> continuation)
{
    var authHeader = context.RequestHeaders.FirstOrDefault(h => h.Key == "Authorization")?.Value;
    if (authHeader != null && authHeader.StartsWith("Negotiate "))
    {
        var ticketBytes = Convert.FromBase64String(authHeader.Substring(10));
        var validator = new Kerberos.NET.Server.KerberosValidator();
        var kerbIdentity = validator.ValidateTicket(ticketBytes);
        // 将Kerberos身份转换为ClaimsPrincipal供业务逻辑使用
        context.User = new ClaimsPrincipal(new ClaimsIdentity(kerbIdentity.Claims, "Kerberos"));
    }
    return await continuation(request, context);
}

2. 客户端证书身份验证 #

基于LDAP用户的客户端证书实现无密码验证：

• 前提条件：为每个LDAP用户颁发X.509客户端证书，证书的Subject或SAN字段关联LDAP用户名；服务端信任证书颁发机构（CA）
• 客户端实现：Avalonia应用读取系统证书存储中当前用户的客户端证书，在gRPC TLS连接中携带证书：

// 配置gRPC客户端使用客户端证书
var handler = new HttpClientHandler();
handler.ClientCertificates.Add(GetCurrentUserClientCertificate());
var channel = GrpcChannel.ForAddress("https://server.yourdomain.com", new GrpcChannelOptions
{
    HttpClient = new HttpClient(handler)
});
var client = new YourGrpcService.YourGrpcServiceClient(channel);

• 服务端验证：gRPC服务端配置TLS并启用客户端证书验证，解析证书中的用户信息并与LDAP同步验证：

// 服务端TLS配置示例
var serverCredentials = new SslServerCredentials(
    new List<KeyCertificatePair> { new KeyCertificatePair(certPem, keyPem) },
    rootCaPem,
    clientCertificateMode: ClientCertificateMode.RequireCertificate);
// 解析证书中的用户名，查询LDAP验证身份
var cert = context.PeerCertificate;
var username = cert.SubjectName.Name.Split('=')[1]; // 根据证书格式调整
// 调用LDAP服务验证用户是否存在及权限

3. PAM 本地票据转发（轻量方案） #

利用Linux PAM模块生成本地身份票据，通过gRPC传递后服务端验证：

• 客户端实现：Avalonia应用通过PAM API获取当前用户的验证票据（比如用pam_authenticate结合自定义模块生成短期令牌），将令牌放入gRPC元数据
• 服务端验证：服务端调用PAM或直接查询LDAP，验证令牌的有效性及关联用户身份

内容的提问来源于stack exchange，提问作者DrWh0