ASP.NET Core应用服务器场跨服务器数据库模拟访问故障排查

网络配置方面的问题与修正 #

• 委派对象配置错误：你可能搞反了委派的配置对象——需要给Web服务器的GMSA账户配置约束委派，而非数据库服务器D。Kerberos委派的核心是允许Web服务的运行账户（GMSA）将用户身份转发到目标服务（数据库服务器D上的数据库服务）。具体操作是在域控制器的AD用户和计算机中，找到该GMSA账户，在“委派”选项卡中设置“信任此用户账户用于委派到指定服务”，并添加数据库服务（例如MSSQLSvc/[D服务器完整域名]:1433）。
• SPN（服务主体名称）配置缺失或错误：
  • 确保Web服务器的GMSA账户注册了正确的HTTP SPN：setspn -S HTTP/[W服务器完整域名] [GMSA账户名]$
  • 确保数据库服务器D的数据库服务注册了正确的SPN：如果数据库用默认账户运行，执行setspn -S MSSQLSvc/[D服务器完整域名]:1433 NT SERVICE\MSSQLSERVER；如果用自定义账户，替换为对应的账户名。
• 认证方式需为Kerberos：NTLM认证生成的令牌无法跨服务器委派，必须确保Web应用使用Kerberos认证。在IIS中禁用匿名身份验证，启用Windows身份验证，并在站点的身份验证设置中调整Kerberos优先级高于NTLM。
• 域组策略检查：确认域控制器的组策略中，“允许计算机和用户账户被信任用于委派”的设置包含Web服务器的GMSA账户。

C#代码与应用配置方面的检查点 #

• 验证令牌的委派级别：在代码中添加日志或调试代码，检查winIdent.ImpersonationLevel的值，必须为TokenImpersonationLevel.Delegation才能跨服务器委派。如果是Impersonation或更低级别，说明当前认证方式无法生成可委派令牌（大概率是用了NTLM）。示例代码：

  _logger.LogInformation("Impersonation Level: {Level}", winIdent.ImpersonationLevel);
  

• 确保数据库连接字符串使用集成身份验证：连接字符串必须包含Integrated Security=True，且不能指定User ID和Password参数，这样才会使用模拟的用户身份连接数据库。示例连接字符串：

  Server=[D服务器完整域名];Database=YourDatabase;Integrated Security=True;
  

• 异步操作需使用对应模拟方法：如果数据库访问是异步操作，不要使用同步的RunImpersonated，改用RunImpersonatedAsync，避免线程切换导致令牌丢失。修改后的方法示例：

  [SupportedOSPlatform("windows")]
  public async Task RunImpersonatedOrNotAsync(Func<Task> action)
  {
      if (action is null) 
          throw new ArgumentNullException(nameof(action));
  
      var winIdent = _context?.User?.Identity as WindowsIdentity;
  
      if (winIdent is null)
      {
          await action();
      }
      else
      {
          await WindowsIdentity.RunImpersonatedAsync(winIdent.AccessToken, async () =>
          {
              using (_logger.BeginScope("Impersonated User: '{0}'", winIdent.Name))
              {
                  await action();
              }
          });
      }
  }
  

• 确认HttpContext中的身份有效性：检查winIdent.Authenticated是否为true，且winIdent.Name不为空，确保拿到的是完整的Windows用户身份，而非匿名或不完整的身份对象。

内容的提问来源于stack exchange，提问作者Alois