.NET Framework 3.5下使用Npgsql实现Postgres Kerberos认证连接方案问询

核心实现路径 #

无需依赖第三方Kerberos类库，依托Windows原生SSPI（安全支持提供程序接口）实现，.NET Framework 3.5原生支持平台API调用，可完全适配独立Kerberos服务器的认证场景，具体步骤如下：

• 客户端Kerberos环境预配置
  由于使用的是非AD的独立Kerberos服务，需要先在富客户端运行的Windows系统中完成Kerberos领域注册：
  1. 可以通过修改C:\Windows\krb5.ini配置文件，写入KDC地址、领域映射、默认域名等配置
  2. 也可以通过系统自带的ksetup命令行工具执行注册，例如ksetup /addkdc [你的领域名] [KDC服务器地址]
     配置完成后可以用系统自带的kinit命令验证能否正常从独立KDC获取TGT票据，确认基础Kerberos链路正常。
• 适配.NET 3.5的PostgreSQL驱动选择
  选择2.x版本的Npgsql驱动，该版本完全兼容.NET Framework 3.5，且原生支持基于SSPI的Kerberos集成认证，无需自行实现Kerberos协议逻辑。
• 连接配置
  只需要在Npgsql连接字符串中添加Integrated Security=true参数即可触发Kerberos认证，前提是PostgreSQL服务端已经完成Kerberos相关配置：pg_hba.conf开启对应客户端网段的Kerberos认证、已配置正确的服务主体密钥文件。
• 自定义票据认证方案（可选）
  如果需要使用非当前Windows登录用户的Kerberos账号认证，可以通过P/Invoke调用Windows advapi32.dll中的SSPI接口，手动调用AcquireCredentialsHandle、InitializeSecurityContext函数生成Kerberos认证令牌，再将令牌封装到PostgreSQL的启动消息中发送给服务端完成认证，全程不需要引入外部Kerberos类库。

注意事项 #

• 需保证客户端、KDC服务器、PostgreSQL服务端三者的时钟差不超过5分钟，否则会触发Kerberos时钟偏移校验失败，导致认证错误
• PostgreSQL服务端注册的服务主体名（SPN）需要和客户端请求时使用的一致，否则会出现票据不匹配的问题
• 若涉及跨Kerberos领域访问，需要提前在独立Kerberos服务器上配置好对应的跨域信任关系

内容的提问来源于stack exchange，提问作者Greg