Как получить Сервисный токен из Kerberos с использованием SSPI

Question

Цель: Я пытаюсь создать приложение-клиент Proof Of Concept для реализации Single Sign On с помощью SSPI. Я новичок в C#, и я сбиваюсь с толку.

То, что я знаю, и сделал до сих пор: Все пользователи являются частью домена Active Directory, поэтому я знаю, Kerberos используется для проверки подлинности при входе в систему. Все, что мне нужно сделать в этот момент, - это получить токен сервисов от Kerberos, чтобы я мог передать его в ресурс службы вместо имени пользователя и пароля (исправьте меня, если я ошибаюсь). Мне предоставлено имя принципа обслуживания (SPN) и пароль, который был зарегистрирован в Kerberos для этой службы.

Я надеялся не использовать Службы Invocation для вызова функций SSPI, но я буду, если понадобится. Я прочитал «.NET Remoting Authentication and Authorization Sample - Part I» и использовал для тестирования тестирование Microsoft.Samples.Security.SSPI. Я также пробовал использовать C#/.Net Interface To The Win32 SSPI Authentication API.

До сих пор я могу получить учетные данные пользователя и клиента, создать контекст безопасности клиента. Но как я могу запросить билет на услугу для данного SPN?

Буду признателен за вашу помощь и руководство. Пожалуйста, будьте конкретны, если можете и дайте мне знать, если у вас есть какие-либо вопросы.

Answer 1

Вы можете использовать ниже, чтобы получить маркер, давая SPN

public String getToken(string userName) 
    { 
    using (var domainContext = new PrincipalContext(ContextType.Domain, "domain")) 
     { 
      using (var foundUser = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, userName)) 
      { 
       Console.WriteLine("User Principale name" + UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, userName).UserPrincipalName); 
       string spn = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, userName).UserPrincipalName; 
       KerberosSecurityTokenProvider k1 = new KerberosSecurityTokenProvider(spn, System.Security.Principal.TokenImpersonationLevel.Impersonation, new System.Net.NetworkCredential(userName, "password", "domain")); 
       KerberosRequestorSecurityToken T1 = k1.GetToken(TimeSpan.FromMinutes(1)) as KerberosRequestorSecurityToken; 
       string sret = Convert.ToBase64String(T1.GetRequest()); 
       Console.WriteLine("=====sret========" + sret); 
       return sret; 
      } 
     } 

    } 

Answer 2

кодов, поставляемая Hasanthi работал отлично для моей потребности, и я не должен использовать SSPI. Я задавал неправильные вопросы, но я много узнал о Kerberos и SSPI. Вот мой код в двух словах:

AppDomain.CurrentDomain.SetPrincipalPolicy(System.Security.Principal.PrincipalPolicy.WindowsPrincipal); 
var domain = Domain.GetCurrentDomain().ToString(); 

using (var domainContext = new PrincipalContext(ContextType.Domain, domain)) 
{ 
    string spn = UserPrincipal.FindByIdentity(domainContext, IdentityType.SamAccountName, serviceName).UserPrincipalName; 
    KerberosSecurityTokenProvider tokenProvider = new KerberosSecurityTokenProvider(spn, System.Security.Principal.TokenImpersonationLevel.Impersonation, CredentialCache.DefaultNetworkCredentials); 
    KerberosRequestorSecurityToken securityToken = tokenProvider.GetToken(TimeSpan.FromMinutes(1)) as KerberosRequestorSecurityToken; 
    string serviceToken = Convert.ToBase64String(securityToken.GetRequest()); 
}