MVC5中AD账户与asp.net Identity/OWIN集成可行性及实现咨询

当然可以！这种在企业内网应用里结合Windows Authentication（AD账户）做身份验证，同时用ASP.NET Identity管理应用专属角色和授权的场景非常常见——刚好能满足你“只允许特定AD用户使用应用”的需求。下面一步步给你讲清楚怎么实现，以及Identity数据库的构建和访问方式：

1. 先启用Windows Authentication #

首先在你的ASP.NET项目里开启Windows Auth，这样就能自动获取AD用户的身份信息：

• 如果是新项目，创建的时候直接勾选「Windows Authentication」；
• 如果是现有项目，在Program.cs里配置认证服务：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

builder.Services.AddAuthorization(options =>
{
    // 默认要求用户已认证
    options.FallbackPolicy = options.DefaultPolicy;
});

2. 添加ASP.NET Identity到项目 #

接下来把Identity集成进来，用来管理应用角色和用户授权：

1. 安装必要的NuGet包：Microsoft.AspNetCore.Identity.EntityFrameworkCore和Microsoft.EntityFrameworkCore.SqlServer（或者你用的其他数据库 provider）
2. 自定义ApplicationDbContext继承自IdentityDbContext：

public class ApplicationDbContext : IdentityDbContext<IdentityUser>
{
    public ApplicationDbContext(DbContextOptions<ApplicationDbContext> options)
        : base(options)
    {
    }
}

3. 在Program.cs里注册Identity服务：

builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = false)
    .AddRoles<IdentityRole>() // 启用角色管理
    .AddEntityFrameworkStores<ApplicationDbContext>();

3. 关联AD用户与Identity用户 #

这是核心步骤：当AD用户访问应用时，我们需要验证该用户是否存在于Identity数据库中（只有存在的才允许使用应用）：

• 可以通过中间件或者登录逻辑来实现，举个中间件的例子：

app.Use(async (context, next) =>
{
    if (context.User.Identity.IsAuthenticated && !context.User.Identities.Any(i => i.AuthenticationType == IdentityConstants.ApplicationScheme))
    {
        var userName = context.User.Identity.Name; // 格式通常是 DOMAIN\用户名
        var cleanUserName = userName.Split('\\').Last(); // 去掉域名，只保留用户名

        var userManager = context.RequestServices.GetRequiredService<UserManager<IdentityUser>>();
        var signInManager = context.RequestServices.GetRequiredService<SignInManager<IdentityUser>>();

        var identityUser = await userManager.FindByNameAsync(cleanUserName);
        if (identityUser == null)
        {
            // 该AD用户不在应用允许列表中，拒绝访问
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("你没有访问该应用的权限，请联系管理员");
            return;
        }

        // 为该用户创建Identity登录会话
        await signInManager.SignInAsync(identityUser, isPersistent: false);
    }

    await next();
});

4. 基于Identity角色做授权 #

现在你可以给Identity用户分配角色，然后在控制器/Action上用[Authorize]特性做授权：

// 给用户分配角色（通常在后台管理页面执行）
await _userManager.AddToRoleAsync(identityUser, "AppEditor");

// 在控制器里限制只有AppAdmin角色的用户能访问
[Authorize(Roles = "AppAdmin")]
public IActionResult AdminDashboard()
{
    return View();
}

1. 构建Identity数据库 #

用Entity Framework Core的迁移功能来创建Identity的数据库表：

1. 在Package Manager Console里执行：

Add-Migration InitialIdentitySchema
Update-Database

2. 执行完后，数据库里会自动生成Identity所需的表：AspNetUsers、AspNetRoles、AspNetUserRoles等，用来存储用户、角色和关联关系。

2. 访问Identity数据库 #

你有几种方式访问Identity的数据：

• 使用Identity内置的Manager类：比如UserManager<IdentityUser>、RoleManager<IdentityRole>，这些类封装了常用的CRUD操作，比如查询用户、分配角色等，直接注入使用即可：

private readonly UserManager<IdentityUser> _userManager;

public UserController(UserManager<IdentityUser> userManager)
{
    _userManager = userManager;
}

public async Task<IActionResult> ListUsers()
{
    var users = await _userManager.Users.ToListAsync();
    return View(users);
}

• 直接操作DbContext：如果你需要更复杂的查询，可以直接注入ApplicationDbContext，像操作普通EF Core上下文一样访问Identity的表：

private readonly ApplicationDbContext _context;

public AdminController(ApplicationDbContext context)
{
    _context = context;
}

public async Task<IActionResult> UserRoles()
{
    var userRoles = await _context.UserRoles
        .Include(ur => ur.User)
        .Include(ur => ur.Role)
        .ToListAsync();
    return View(userRoles);
}

• 不要开启自动创建用户的逻辑：因为你需要手动将允许使用应用的AD用户添加到Identity数据库中（可以做一个后台管理页面来批量添加或单个添加）；
• 可以在AspNetUsers表中添加自定义字段（比如AD的SID、用户部门等），只需要创建自定义的ApplicationUser类继承自IdentityUser，然后修改ApplicationDbContext的泛型参数即可；
• 确保AD用户名在Identity中是唯一的，避免多个AD用户对应同一个Identity用户的情况。

内容的提问来源于stack exchange，提问作者zbx888