.NET 6 Docker容器中凭据远程文件复制及身份模拟问题

你当前依赖advapi32.dll的LogonUser+WindowsIdentity.RunImpersonated身份模拟方案在Docker容器中失效，原因是容器环境（尤其是Linux容器）无法访问Windows原生API。以下是两种符合需求的解决方案：

方案一：不依赖advapi32.dll的容器内身份模拟（基于Kerberos） #

若远程服务器支持Kerberos认证，可通过.NET的Kerberos相关类实现身份模拟，无需调用Windows原生API：

1. 环境准备：确保容器所在主机能访问域控KDC，Linux容器需安装Kerberos客户端（如krb5-user）并配置krb5.conf文件指向域控。
2. 代码示例：

using System.IdentityModel.Tokens;
using System.Net;
using System.Security.Principal;
using System.IO;

// 构造服务账号凭据
var serviceCredential = new NetworkCredential("serviceAccount", "password", "your-domain.com");

// 指定远程服务的SPN（以SMB服务为例，格式为cifs/[远程服务器主机名/IP]）
var targetSpn = "cifs/remote-server.your-domain.com";

// 获取Kerberos模拟令牌
var kerberosToken = new KerberosRequestorSecurityToken(
    targetSpn,
    serviceCredential,
    TokenImpersonationLevel.Impersonation);

// 模拟身份执行文件复制
using (kerberosToken.Impersonate())
{
    Console.WriteLine($"当前模拟身份：{WindowsIdentity.GetCurrent().Name}");
    // 执行SMB文件复制
    File.Copy("/app/local-file.txt", @"\\remote-server.your-domain.com\shared-folder\file.txt");
}

方案二：无需身份模拟的远程文件复制 #

直接使用支持指定凭据的文件传输协议，绕过身份模拟逻辑：

子方案1：SFTP（SSH文件传输） #

通过SSH.NET库直接传入凭据连接远程服务器，适用于大多数Linux/Unix远程主机：

1. 安装NuGet包：SSH.NET
2. 代码示例：

using Renci.SshNet;
using System.IO;

// 配置SFTP连接信息
var authMethod = new PasswordAuthenticationMethod("sftp-username", "sftp-password");
var connectionInfo = new ConnectionInfo("remote-server-ip", 22, authMethod);

using (var sftpClient = new SftpClient(connectionInfo))
{
    sftpClient.Connect();
    // 上传本地文件到远程服务器
    using (var localFileStream = File.OpenRead("/app/local-file.txt"))
    {
        sftpClient.UploadFile(localFileStream, "/remote-storage-path/file.txt");
    }
    sftpClient.Disconnect();
}

子方案2：直接使用SMB协议指定凭据 #

使用SMBLibrary库直接传入服务账号凭据访问远程SMB共享，无需身份模拟：

1. 安装NuGet包：SMBLibrary
2. 代码示例：

using SMBLibrary;
using SMBLibrary.Client;
using System.IO;

var smbClient = new SMB2Client();
// 连接远程SMB服务器
bool isConnected = smbClient.Connect("remote-server-ip", SMBTransportType.DirectTCPTransport);
if (isConnected)
{
    // 使用服务账号登录
    NTStatus loginStatus = smbClient.Login("your-domain", "serviceAccount", "password");
    if (loginStatus == NTStatus.STATUS_SUCCESS)
    {
        // 连接目标共享文件夹
        ISMBShare targetShare = smbClient.TreeConnect("shared-folder-name", out NTStatus shareStatus);
        if (targetShare is DiskShare diskShare)
        {
            // 上传文件到共享文件夹
            using (var remoteFileStream = diskShare.CreateFile(
                "file.txt", 
                FileAccessMask.GENERIC_WRITE, 
                FileAttributes.Normal, 
                ShareAccess.Read, 
                CreateDisposition.CreateNew, 
                0))
            {
                byte[] localFileContent = File.ReadAllBytes("/app/local-file.txt");
                remoteFileStream.Write(localFileContent, 0, localFileContent.Length);
            }
        }
        smbClient.Logoff();
    }
    smbClient.Disconnect();
}

子方案3：REST API文件上传 #

若远程服务器提供文件上传的REST接口，直接调用接口并携带身份验证信息：

using System.Net.Http;
using System.Net.Http.Headers;
using System.IO;

var httpClient = new HttpClient();
// 配置Basic身份验证
var authCredentials = Convert.ToBase64String(System.Text.Encoding.ASCII.GetBytes("api-user:api-password"));
httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic", authCredentials);

// 构造多表单数据上传请求
using (var multipartContent = new MultipartFormDataContent())
{
    var fileByteArray = File.ReadAllBytes("/app/local-file.txt");
    var fileContent = new ByteArrayContent(fileByteArray);
    fileContent.Headers.ContentType = MediaTypeHeaderValue.Parse("application/octet-stream");
    multipartContent.Add(fileContent, "file", "file.txt");

    // 发送上传请求
    var response = await httpClient.PostAsync("https://remote-server/api/upload", multipartContent);
    response.EnsureSuccessStatusCode();
}

内容的提问来源于stack exchange，提问作者pal