如何在服务账户下运行.NET Core容器以实现SQL Server连接

核心逻辑：原IIS场景下的服务账户Windows认证依赖AD域的Kerberos身份上下文，容器化后需要主动将服务账户的身份权限注入到容器运行环境中，无需修改原有集成认证的核心逻辑。

前提约束 #

• 必须使用Windows容器部署，SQL Server的Windows集成认证仅支持Windows域环境的身份体系，Linux容器无法原生支持该认证方式
• 所用服务账户已在AD域完成注册，且已分配目标SQL Server实例的对应访问权限

生产环境推荐方案：gMSA（组管理服务账户）注入 #

该方案是微软官方主推的生产级实现，不需要修改业务代码，身份凭证由AD域统一管理，无泄露风险。

配置步骤 #

1. 域控制器端配置gMSA
   登录AD域控制器执行如下PowerShell命令，创建gMSA并授权容器宿主机可拉取该账户的托管密码：

# 替换尖括号内容为你实际的配置值
New-ADServiceAccount -Name <gMSA账户名> `
-DNSHostName <gMSA对应的域名全称> `
-PrincipalsAllowedToRetrieveManagedPassword <容器宿主机的AD计算机账户名>

2. 容器宿主机安装gMSA
   在每台要运行该容器的Windows宿主机上执行如下命令，验证gMSA可用性：

# 安装gMSA
Install-ADServiceAccount -Identity <gMSA账户名>
# 验证配置是否正确，返回True即为可用
Test-ADServiceAccount <gMSA账户名>

3. 生成容器身份凭证规范文件
   使用微软官方提供的New-CredentialSpec.ps1脚本生成对应的credentialspec配置文件，生成后的文件默认存放在C:\ProgramData\Docker\credentialspecs目录下。
4. 启动容器时注入身份上下文

• Docker单节点运行命令：
  docker run --security-opt "credentialspec=file://<你的credentialspec文件名>.json" <你的.NET Core容器镜像名>
• Kubernetes集群运行时，需要先部署Windows gMSA准入控制器，之后在Pod的securityContext字段中配置对应的gMSA信息即可。

临时测试方案：代码模拟服务账户身份 #

如果仅做临时验证不想配置域侧规则，可以在代码中手动模拟服务账户身份，该方案不推荐生产使用，存在密码泄露风险。

实现步骤 #

1. 先安装两个NuGet包：System.DirectoryServices.AccountManagement、Microsoft.Data.SqlClient
2. 在创建SQL连接前执行身份模拟：

using System.DirectoryServices.AccountManagement;
using System.Security.Principal;
using Microsoft.Data.SqlClient;

// 替换为你实际的域、服务账户信息
using var domainContext = new PrincipalContext(ContextType.Domain, "你的域名", "服务账户用户名", "服务账户密码");
using var serviceAccount = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, "服务账户用户名");
var dirEntry = (System.DirectoryServices.DirectoryEntry)serviceAccount.GetUnderlyingObject();
var sidIntPtr = (IntPtr)dirEntry.Properties["objectSid"].Value;

using var winIdentity = new WindowsIdentity(sidIntPtr);
using (winIdentity.Impersonate())
{
    // 此处创建的SQL连接会自动使用模拟的服务账户完成集成认证
    using var conn = new SqlConnection("Server=你的SQL实例地址;Database=你的库名;Integrated Security=True;TrustServerCertificate=True;");
    conn.Open();
    // 执行你的数据库业务逻辑
}

注意：该方案需要明文存储服务账户密码，建议仅用于本地功能验证，生产环境必须使用gMSA方案。

连接字符串验证 #

两种方案都不需要修改原有集成认证的核心配置，连接字符串保持如下格式即可：
Server=<SQL实例地址>;Database=<库名>;Integrated Security=True;

内容的提问来源于stack exchange，提问作者OpenStack