ASP.NET 中的模拟和委托（使用 SQL Server）

Question

我编写了一个简单的 ASP.NET 应用程序，它作为一个简单的 MSSQL 数据库的前端。该应用程序可通过 Internet 访问。

涉及两个物理服务器：一个 WS2008R2 Active Directory 域控制器，它也运行 MSQL Server 2008 R2，另一个服务器，我的应用程序所在的网络服务器 (WS2008R2/IIS7.5)。

我的应用程序“FooPool”的应用程序池有自己的 AD 用户身份，它在“FooUser”下运行。FooUser 没有任何访问 SQL Server 数据库的权限，只有我自己的个人用户帐户“MyUser”具有该权限。

想法是尝试访问此 Web 应用程序首先使用 IIS 执行 Windows 身份验证，然后我的 Web 应用程序使用模拟访问 SQL Server 数据库。

但是我的应用程序不起作用。

我在没有接触 SQL Server 的情况下测试了应用程序，只是为了测试模拟，所以我做了 Response.Write( WindowsIdentity.GetCurrent(false).Name ); 它正确地显示了模拟 MyUser 而不是充当 FooUser 的应用程序。这适用于所有现代浏览器和整个互联网。

但是一旦它接触到 MSSQL Server，我就会收到错误消息“用户‘NT AUTHORITY\ANONYMOUS LOGON’登录失败。” 但这不应该发生，因为没有用户令牌用于匿名登录。

我已经完成了我的作业并阅读了有关 ASP.NET 中的委派和模拟的所有内容，并且我已经设置了委派：FooUser 帐户具有服务主体名称设置（我将 SPN 设置为任意字符串，这样做是否正确?) 并在 ADUC 中标记为委派。

最后，我的连接字符串启用了 SSPI，禁用了连接池，并且网络库设置为“dbmssocn”。

我还忘记了什么？

Answer 1

完成工作委派的配置后，您必须启用约束委派：

1. 打开Active Directory 用户和计算机
2. 找到 IIS 网站用于 Web 应用程序池的用户帐户并双击它
3. 选择选项：信任此用户仅委派指定
   服务。
4. 确保用户仅限于与 MSSQLSvc 服务关联的 SPN
5. 重新启动 IIS

http://blogs.technet.com/b/askds/archive/2008/11/25/fun-with-the-kerberos-delegation-web-site.aspx