ASP.NET Core 3.1 MVC应用如何接入Active Directory并完成自定义配置

1. 替换Windows认证默认登录提示为自定义登录页 #

Windows认证的默认登录弹窗是浏览器原生控件，无法直接自定义样式，要实现自定义登录页按以下步骤操作：

• 进入IIS对应站点的「身份验证」设置页，禁用Windows身份验证，启用Forms身份验证
• 开发自定义登录页，后端调用AD校验接口验证用户输入的凭据，.NET环境可直接使用System.DirectoryServices.AccountManagement命名空间下的PrincipalContext.ValidateCredentials()方法完成AD账号校验
• 校验通过后调用FormsAuthentication.SetAuthCookie()写入登录态，即可完成自定义登录流程

2. 调整为仅输入用户名即可登录 #

分两种场景配置：

• 保留默认Windows身份验证场景：
  打开IIS站点的「配置编辑器」，定位到system.webServer/security/authentication/windowsAuthentication节点，将useAppPoolCredentials设置为True，同时确认站点应用程序池的运行身份为有AD查询权限的域账号（已加域的服务器使用Network Service身份也可）。还可以在web.config中指定默认登录域，用户输入纯用户名时系统会自动补全域名前缀：

  <system.web>
    <authentication mode="Windows">
      <forms loginUrl="~/Login.aspx" timeout="2880" />
    </authentication>
    <membership defaultProvider="ADMembershipProvider">
      <providers>
        <add name="ADMembershipProvider" 
             type="System.Web.Security.ActiveDirectoryMembershipProvider" 
             connectionStringName="ADService"
             attributeMapUsername="sAMAccountName" />
      </providers>
    </membership>
  </system.web>
  

• 使用自定义登录页场景：
  后端校验AD凭据时，预先配置好AD域名前缀，用户输入纯用户名后，后端自动拼接域名前缀再发起校验，不需要用户手动输入前缀即可完成登录。

3. 用户权限角色管理与页面访问限制 #

有两种成熟方案可选，按需使用：

• 方案1：复用AD安全组做角色管理
  不需要改动应用代码逻辑，只需AD管理员配合在AD域中创建对应业务角色的安全组，比如「应用管理员」「普通用户」「数据查看员」等，将用户加入对应安全组。
  用户登录后，可直接通过User.IsInRole("域名称\\安全组名称")判断用户所属角色，页面访问限制可直接在接口/页面头部加[Authorize(Roles = "域名称\\应用管理员")]注解（.NET环境），也可在web.config中配置路径权限：

  <location path="AdminManage">
    <system.web>
      <authorization>
        <allow roles="域名称\应用管理员" />
        <deny users="*" />
      </authorization>
    </system.web>
  </location>
  

• 方案2：应用本地维护角色映射
  不需要AD管理员配合，在应用自有数据库中创建用户-角色映射表，用户第一次登录时同步AD的sAMAccountName（即用户名）到映射表，后台管理员自行给用户分配角色，后续用户登录时从本地表读取角色信息做权限校验即可，灵活度更高。

内容的提问来源于stack exchange，提问作者SeeSharper